【なあんだ】難波先生より

【なあんだ】「日経」が「韓国サイバー攻撃」の内容をやや詳しく報じている。
　http://www.nikkei.com/article/DGXNASFK2203A_S3A320C1000000/

＜3月20日14時ごろ、韓国の放送局や金融機関でコンピューターシステムが一斉にダウンし、大きな被害をもたらした。原因は、ウイルス（マルウエア）を使ったサイバー攻撃とみられている。　事件後、韓国インターネット振興院（KISA、Korea Internet＆Security Agency）や、海外のセキュリティ企業は、今回の攻撃を分析し、その結果を公表した。3月22日正午時点までに公開された情報を基に、今回の事件の概要をまとめた。
　パッチ管理システム経由でウイルスを配布
　KISAによれば、ウイルスは「パッチ管理システム（PMS=Patch Management System）」を経由して、各企業のサーバやパソコンに配布されたという。PMSとは、パッチ（セキュリティ更新）をパソコンなどに自動的に配布するシステム（サーバ）のこと。米マイクロソフトが提供する「WSUS（Windows Server Update Services）」が有名。ただしKISAでは、パッチ管理システムの名前は明らかにしていない。

　攻撃者は、標的とした企業・組織のパッチ管理システムに不正侵入。パッチに見せかけたウイルスを置き、パッチ管理システムを使って社内のサーバやパソコンに配布したと考えられる。
　ウイルスには、3月20日14時に動き出す仕掛けが施されていたため、同時刻に一斉に起動。サーバーやパソコンを使用不能に追い込み、業務を行えないようにした。例えば、銀行ではATMが利用できなくなったり、放送局では記者が記事を送れなくなったりしたと伝えられる。
　韓国政府では、放送局や金融機関など6社において、合計で3万2000台のコンピューター（サーバーやパソコン）が被害に遭ったことを確認したとしている（3月21日時点）。
　専用のウイルス対策ソフトを無料で提供
　今回のサイバー攻撃を受けて、KISAは20日14時29分、国家サイバー安全センター（NCSC、National Cyber Security Center）や警察のサイバーテロ対応センターといった関係機関と協議を開始。＞

　＜同日15時には、ISPとともにインターネットを流れるトラフィックなどに異常がないかどうかを調査。同日15時10分には、被害に遭ったとされる放送局や金融機関にKISAのスタッフを派遣し、調査を開始した。　そして、今回使われたウイルスを特定。該当のウイルスを検出駆除できる専用のウイルス対策ソフトを開発し、3月21日から無料で提供した（添付1）。
　目的はコンピューターを使用不能にすること
　セキュリティ企業各社は、今回のサイバー攻撃で使われたウイルスを解析し、その詳細をWebサイトなどで公表している。それらの情報によると、今回の攻撃で使われたウイルスは、感染したパソコンやサーバーを使用不能にする機能しか持たないようだ。
　3月20日14時に動き出したウイルスは、感染したパソコンなどで動作しているプログラム（プロセス）をチェック。「pasvc.exe」あるいは「clisvc.exe」が動作している場合には、これらを停止する。
　これらは、韓国の大手セキュリティ企業であるアンラボおよびハウリが提供するウイルス対策ソフト（セキュリティソフト）のプログラム名。これらのメーカーのソフトを使っているユーザーは、韓国では多いと考えられる。このことから、該当のウイルスは、今回の攻撃のために作成された可能性が高い。＞

　この記事からわかることは、
　1)問題のウイルスはマイクロソフトのウインドウズ使用機にのみ感染すること、
　2)「トロイの木馬」と呼ばれるタイプのウイルスで、感染後潜伏期があり、ある日時になって起動すること
　3)従ってワクチンがあれば事前に検出排除できたこと、
　4)「ファイル消去型」と報道されたのは間違いで、「PASVC」、「CLISVC」というウイルス除去の実行ファイル(EXE.)を停止させて、端末機を使用不能にしたこと。（起動時間が14:00なので、ATM障害はあってもごくわずか。）
　5)24時間後にはワクチンを作成配布しており、ウイルスのサイズ、作動機序の詳細は公表されていないが、ごく単純なもので素人にもつくれる程度のものと思われ、別に「北のサイバー部隊」を仮定する必要はないこと。
　添付１に示すように、配布されたワクチンは「winhiip32.exe (or Trojan. Win32. KillMBR.B)」という名称で、2,523がファイルサイズ(2.5KB)と考えられること。プログラム言語はごく普通の「C言語」であること。

　日経の記事で落ちているのは、
　1)WIN機は、もともとLANで端末機がサーバのデータを共有するために開発されたので、外部からの侵入が容易であり、このため穴を塞ぐためにパッチ（絆創膏）を貼る「パッチ処理」というサービスをMS社は定期的に行っているが、経営者が無知だとこの保守費用を惜しみ、新型ウイルスの侵入口が残されてしまうこと、
　2)「トロイ型(Trojan)」ウイルスは潜伏期があるので、最初に感染した端末機とサーバを突きとめることは可能であるが、その経路やなぜ農協と一部の銀行と一部のテレビ局のサーバしかやられなかったのか、説明されていないこと、である。

　（韓国の「中央日報」によると、「農協、MBC、YTNの２テレビ局、親韓銀行、済州銀行ほか１機関(USA TODAYによるとKBS)」の合計６機関のようだ。農協の場合は国際規約を無視して、勝手にINTRANETで中国のIPアドレスを用いており、それで調査機関が「中国発」と誤認したという。）
　http://japanese.joins.com/article/678/169678.html?servcode=400§code=430

　IPアドレスは本のISBN番号と同じで、パソコン毎に違っている。それが中国のものだったということは、中国製の安いパソコンを輸入して使っていたということであろうか。
　この「農協」というのは、最新の「ソウル・共同」によると、「農協銀行」だという。
　http://www.47news.jp/CN/201303/CN2013032201002265.html
　これならATMがあるから、全国の支店がオンライン化されているだろう。大型サーバが必要になる。
　ただ「イントラネットでたまたま中国のものと同じIPアドレスを使った」、という説明はまったく説得力がない。

　（私は無線及びケーブル・ルータを用いて、５台のパソコンを接続し、どの機械からでもインターネットにアクセスできるLAN(イントラネット）構築しているが、この環境下でも１台から他の４台のデータを勝手に変えることはできない。個別パスワードが必要である。）

英紙「GUARDIAN」は輸入されたパソコンに、最初からウイルスが仕組まれていれば、職場で使っているうちに「トロイの木馬」が起動して、今回のような事件が起きる可能性もあると報じている。
　＜The infected PCs were already part of a "botnet" – PCs which are surreptitiously under the control of a hacker who rents them out without the user knowing – and that the virus writer hired or bought access to them.＞

　「朝鮮日報」http://www.chosunonline.com/site/data/html_dir/2013/03/23/2013032300379.html　は
＜政府の合同対応チームが農協のシステムから発見したというIPアドレス（101.106.26.105）は、中国が所有する国際機関公認のIPアドレスだった。一般企業は社内イントラネットの各機器に、任意の数字からなる私設IPアドレスを付与している。
　放送通信委ネットワーク保護チームのチーム長は「偶然にも中国に割り当てられた国際公認IPアドレスと、農協が付与した私設IPアドレスが同一だった。私設IPアドレスを付与する際にも国際的な基準があるが、農協はこの基準を守っていなかったため、（調査の過程で）誤解が生じた」と説明した。政府は依然として、攻撃の起点を海外とみて捜査を続けている。
　放送通信委の関係者は「被害を受けた機関のうちMBC、YTN（いずれもテレビ局）のイントラネットからは、海外のIPアドレスが発見された。ほかの機関については調査中」と語った。＞　と報じている。

　この記事の欠陥はIPアドレスの４つの数字クラスターのうち、どの番号が中国と一致しているのかが報じられていない点だ。3X4＝12桁が全部一致することなど、確率論的にありえない。しかし、調べてみると　問題のIPアドレスは「中国、北京」に実在する。「IPアドレス日本管理センター」の頁からわかる。　http://101.106.25.105.ipaddress.com/

　農協がランダムに割り当てた番号が、北京のパソコン（サーバ？）のIPアドレスと偶然に完全に一致する確率はほぼゼロだ。これは農協が中国製のコピー・パソコンを使っていたことの、動かない証拠である。このパソコンに1)ウイルスが初めから入っていたか、2)後で感染したか、が問題の核心である。（後で述べるようにコピーパソコンが、OSの自動アップデートのために、違法サーバに接続した時に感染したらしい。）
　これはMS社のWINDOWS OSが違法にコピーされ、このためMS本社からのソフトのアップデート・サービスが受けられず、北京のサーバが違法アップデートを行っていたことを意味している。これならこのサーバからいくらでもウイルスが送り込める。

　電子器機の輸入が輸入総額の11.2%を占め、輸入総額の17.7%が中国からである韓国（「TIME ALMANAC 2013」)で、ブランド名だけをDELLなどにした安い中国製のパソコンが輸入されていないと考える方がおかしい。恐らくこの事件を詳しく調べて行けば、「国際インターネット通信プロトコル」(IIP)違反だとか、商標盗用だとか、韓国と中国が日常的におこなっている違法行為の実態が明るみに出るだろう。だから韓国政府の情報公開には限度がある。ワシントンポストの記者だったら、すべてを取材し公表するだろう。日経も頑張ってもらいたいものだ。

　3)2.5KB程度のC言語で書かれたトロイ型ウイルスであるとすれば、素人にも作成可能なのに、なぜ韓国政府や韓国メディアは「北の特殊部隊」を持ち出すのか？　何かを隠蔽するためとしか考えられない。でなければ証拠をだせ。

　4)ウイルスが起動した画面に残されていたという、ラテン語「Hastati principus」の問題はどうなったのか？　数字列の解読に誤りがなければ、この文字は犯人を特定するのに役立つはずである。
　「＠（アットマーク）」という日本の情報セキュリティ会社のHPによると、
　http://www.atmarkit.co.jp/ait/articles/1303/21/news095.html
　＜マルウェア(ウイルス)の中には、Windows XPやWindows 2003 Server、Windows VistaといったWindows系のOSをターゲットに、MBRやVBRなどのブート領域と論理ドライブを「PRINCPES」「HASTATI」といった無意味な文字列で上書きしてしまうマルウェアと、リモートのUNIX系OSをターゲットにddコマンドでディスクの内容を「0」で上書きしたり、Linuxの/kernelや/usr、/etc、/home以下の領域を削除してしまうマルウェア(ウイルス)が含まれていた。＞とある。
　この報道が事実とすれば、「ファイル消去」被害は報道されていないから、UNIX系、LINUX系のOSを使ったサーバーはなかったということだろう。
確かにラテン語とすれば「PRINCPES」は綴りがおかしい。「HASTATI」はHastatusの複数形だからおかしくない。これはハッカーがラテン語の基礎知識を持っていたことを意味している。無意味と考えるのは解析者がラテン語を知らないからだ。

　CHRISTIAN SCIENCE MONITOR紙はカリフォルニアの情報セキュリティ会社を取材して、別なストーリーを紹介しているが、「世界のサイバー被害の75%が韓国に集中している」という。ほんとかいな？というような記事だ。もし事実なら、対策をこうじなかった李明博前政権が悪い。「独島上陸」などの派手なパフォーマンスのかげで、IT社会における国家の安全がお粗末になっていたわけだ。

　結局のところ、今度の事件は、韓国がIT音痴であることを暴露しただけのことではないか。日経のITリテラシーも大したことないが、今回の事件は企業がサーバー管理に金をけちったのが、根本問題であることをちゃんと報道してもらいたい。

　2CHの「ITオタクのスレ」の要約によると、今回の事件はこういうことらしい。

　＜中華(中国）製の割れ（複製）WindowsはアップデートのパッチリストをMSから読み込まずに 割れ（複製品）を供給している中国の会社のWSUS (Windows Software Upate System)から適用される仕様になっていた。
これを韓国のIT企業が官庁や企業、銀行から軍まで、あらゆるネットワークを納入する際に 利用していた可能性が高い。この企業は顧客へのパッチ導入に 独自のWSUSを構築する手間を省くため、中華(中国)OSが指定したWSUSを変更しなかった。
この状態で中華(中国)WSUSからウィルス入りのパッチが配布され韓国内の全ての割れ(複製)OSに適用された。
このウィルスは3月20日をもって一斉に割れ(複製)OSのMBRを破壊し、同時にHDDを全消去した。 ＞

　要するに今回の事件は、違法OSのアップデート（MS社のサーバには接続できない）の際に違法サーバに接続したために、ウイルス感染が起き、それを「すわサイバー攻撃！」と（例によって朝鮮風に）大騒ぎした可能性が高い。目下の対策が「アップデート禁止」という異常な措置であることは、この解釈を支持するものである。正規ソフトならアップデートすればウイルスが除去される。

　これを日本では「水鳥の羽音に驚く平家」という。露呈したのは韓国のIT水準の低さと心理的脆弱さだ。
　「産経」の報道によれば、韓国政府は依然として「中国経由の北朝鮮の攻撃」という線を保持しており、「調査完了までに半年かかる」という。
　なに、ほとぼりが冷めるのをまって、うやむやにするつもりだろう。でないと、「盗人を捕らえてみればわが子なり」となる。

　ある掲示板に今度の事件について、こういうコメントがあり大笑いした。
　「仏罰の威力凄すぎワロタ
　一刻も早く仏像返したほうがいいぞ
　この勢いで行くと来週あたり韓国が地図から消えるぞ 。」