ロシア軍によるウクライナ侵攻では、軍事行動と同時にサイバー攻撃が行われたことが明らかになっています。ウクライナへのサイバー攻撃で使われたのがワイパーと呼ばれるマルウェアです。ワイパーとはどのようなマルウェアなのでしょうか?
イランへの攻撃で登場、解析したのはKaspersky Lab
ワイパーはハードディスクドライブ内のデータを消去しコンピューターを破壊するマルウェアとして知られています。ワイパーマルウェアがコンピューターシステムを攻撃する「サイバー兵器」として登場したのは2012年4月のイラン石油省へのサイバー攻撃です。当時のイランの報道によるとイラン石油省本部のコンピューターのハードディスクデータが消去されました。2012年4月23日付のニューヨークタイムズは、ワイパーと呼ばれるコンピューターウィルスがイラン石油省を標的にしたと伝え、イラン当局は3月に攻撃に気付いたがマルウェアを除去できなかったと現地の報道を受けて報じました。イランでは2010年に原子力施設の遠心分離機を狙ったスタックスネットによる攻撃が明るみになり、それから2年後のことでした。
イラン石油省本部を攻撃したワイパーマルウェアにはコンピューターの破損とともに自らを消し去る高度な機能があったことから、イランはワイパーマルウェアを捕捉することができませんでした。しかし、国際電気通信連合の依頼を受けたロシアのサイバーセキュリティ企業、カスペルスキーのKaspersky Labが分析を行い、HDDからワイパーの痕跡を見つけ、その痕跡を分析することでマルウェアを解析しました。
サウジアラムコ攻撃のshamoonはコピーキャット?
イラン石油省へのワイパー攻撃から4カ月後の2012年8月、今度はサウジアラビアの国営石油会社、サウジアラムコにワイパー攻撃が行われ3万台ものコンピューターが破壊されました。この時、使われたワイパーマルウェアはshamoonと名付けられました。カスペルスキーはshamoonを解析してイラン石油省を攻撃したワイパーとは異なるマルウェアだと表明しました。しかし、一方でshamoonはイラン石油省を攻撃したワイパーのコピーキャット(模倣品)の可能性が高いとの見解を示しました。それから4年後の2016年11月、再びサウジアラビアの政府機関や中央銀行などがワイパー攻撃を受けました。この時に使われたワイパーは2012年にサウジアラムコを攻撃したshamoonの90％を再利用したものだと言われています。
ワイパーはコンピューターを破壊するマルウェアですが、混乱を目的としたケースもあるようです。2018年5月にサンディエゴに本店を置くチリの大手商業銀行、バンコデチリはワイパー攻撃により9000台のワークステーションと500台のサーバーが破壊され大混乱となりました。この混乱を利用して1000万ドルが香港の銀行口座に不正送金されたということです。ワイパー攻撃によって混乱を引き起こし、その隙に不正送金を行う手口だったようです。この時に使われたワイパーはkill_osと呼ばれるMBR Killerモジュールの修正バージョンで、MBR Killerは2015年にロシアの銀行を襲ったマルウェアBuhtrapのコンポーネントだということです。Buhtrapはロシアそしてウクライナの金融機関を狙った攻撃で使用されてきた経緯があるようです。
ランサムウェアに偽装して攻撃を隠ぺい
ワイパーマルウェアは2012年のイランへの攻撃で国際社会に登場して以降、コンピューターシステムの破壊、混乱を引き起こす手段として使われてきました。その機能も攻撃者によって様々なものがあり、今回、ウクライナで使われたWhisperGate、HermeticWiperにはランサムウェアに偽装したコードが見られるようです。これは恐らく、ワイパーは事前に仕掛けるため、発覚した際にランサムウェアだと標的に誤認させるためではないかと思います。
実際、2017年にウクライナを中心にヨーロッパで被害が広がったNotPetyaは当初、ランサムウェアと考えられていましたが、回復可能な方法でデータが暗号化されていないことが判明しワイパーマルウェアだったことが明らかになりました。これまでワイパーマルウェアは特定の組織等を標的とした破壊や混乱を目的としたサイバー攻撃で使われてきたわけですが、今回のウクライナのケースでは、軍事侵攻と連携したサイバー攻撃において使用され、ワイパーマルウェアがサイバー兵器の役割を担っている側面がより鮮明になったと思います。
■出典、参考