CIAの新リークで判明——USBメモリ経由でエアギャップシステムに侵入するマルウェアの正体

近年、CIA(米中央情報局)は内部からの情報流出に悩まされ続けています。中でも最も有名なのが「Vault 7」事件です。この事件では、同機関の機密文書が次々と外部に流出し、世界中の膨大なデバイスを侵害しうる高度なハッキング手法、ツール、フレームワークの存在が明るみに出ました。

そして2017年6月22日に新たにリークされた情報により、CIAはネットワーク上のコンピュータに感染させるだけでなく、巧妙な手法とUSBメモリを駆使すれば、ネットワークから物理的に隔離された「エアギャップ」環境のシステムにも自在に侵入できることが判明したのです。

なぜエアギャップシステムが狙われるのか?

エアギャップ(物理的隔離)は、長年にわたり外部からの侵入に対する強固な防壁として活用されてきました。ネットワークは利便性を追求するほど脆弱になるため、これを補うべく、一部の企業や政府機関は機密性の高いシステムをネットワークから完全に切り離し、限られた担当者だけがアクセスできるオフラインの保管庫として運用しています。

しかし、CIAの新たなリークが証明したのは、この手法が極めて有効な防御策であるということ――少なくとも、これまでは。

そもそも、どの組織も必要のないシステムに多大なリソースを割くことはありません。したがって、エアギャップ化されているシステムには、部外者に見られたくない秘密データが詰め込まれていると考えて間違いありません。その内容は、企業秘密、軍事戦略、未公開の技術など、クレジットカード番号程度の情報よりもはるかに重要なものばかりです。

ツール「Brutal Kangaroo」の仕組み

今回明らかになったCIAのツールは「Brutal Kangaroo(ブルータル・カンガルー)」と呼ばれ、「ホッピング(跳躍)」と呼ばれる複製手法を利用しています。これは、ウイルスが自分自身と関連情報を新たなプラットフォームに書き込むことで感染を広げていく方式です。

具体的な流れは以下の通りです。まずネットワーク接続されたコンピュータに感染させ、従業員がUSBメモリを挿入するのを待ちます。USBメモリにウイルスが書き込まれた後、そのUSBメモリがエアギャップ環境のコンピュータに挿入されるのを見計らい、システム内の標的となる情報を収集します。その後、再びUSBメモリがネットワーク接続されたコンピュータに挿入されると、ウイルスは収集した情報を「コントローラー」へ送信。これにより、攻撃者はすべてのエアギャップコンピュータの状況を俯瞰できるようになるのです。

攻撃を防ぐためにできること

ひとたびシステムが感染してしまえば、流出したデータを「取り消す」ことはできません。だからこそ、予防こそが何よりも重要になります。おすすめしたいのは、ネットワーク接続されたすべてのシステムに対してサニテーション(無害化確認)手順を導入することです。具体的には、各システム上のあらゆる操作をログとして記録し、エアギャップシステムへ転送する直前にそのログを精査します。

加えて、可能であればエアギャップシステムをWindows以外のOSで運用することを検討してください。Brutal KangarooはWindowsでのみ動作するためです。保存するのがデータベースだけなら、Linuxでも十分に運用できます。ただし油断は禁物です。Linuxはハッカーに対する魔法の武器ではないのですから。

さらに、エアギャップシステムに触れることを許可するスタッフを最小限に絞り込み、可能な限りファイルシステムを暗号化しておきましょう。エアギャップ化自体はセキュリティ対策のほんの一手にすぎません。組織が「卵の殻」のように脆い存在にならないためにも、他の複数の安全手順やポリシーと組み合わせて多層的に運用することが理想です。

エアギャップへの侵入を防ぐために、あなたの組織ならではの対策はありますか?ぜひコメント欄でお聞かせください!