水平線のかなたに浮かぶ船:カスペルスキーのAPTモニタリングツール

Kaspersky Labの「Targeted Attacks Logbook」では、APTの活動期間や他のAPTとの関係、標的などの詳細情報が、美しいグラフィックで表示されます。

640-61

Kaspersky Labは、APTをリアルタイムでモニタリングする最新のビジュアルツール『Targeted Cyberattacks Logbook』を発表しました。

見た目にも印象的な作りになっていますが、それだけでなく、これまでに観測されたAPT(Advanced Persistent Threat)に関する詳細な調査データを一目で把握できます。さっそく、機能と使い方をご紹介しましょう。

最初の画面を下にスクロールすると、軍艦を模して描かれたAPTが時系列に並んだ画面が現れます。船尾の航跡の長さは、活動を始めてから検知されるまでの期間を表します。船体の長さは、検知されて以降の活動期間を表し、船首の位置によって現在も活動しているかどうかがわかります。2014年以降の位置に船首があるAPTは現在も活動中ですが、そうでないAPTは活動していません。残念ながら、現在も活動を続けるAPTは多く、最近公表されたReginEquationもその一部です。Reginが検知されたのは2012年ですが、2003年から活動していたとみられています。

では、マウスのカーソルを「軍艦」の上に置いてみましょう。たとえば、小さなモーターボートとして描かれたFlameにカーソルを合わせると、他のAPT(Gauss、Duqu、MiniFlame、Stuxnet、Equation)との間を結ぶ線が現れます。Stuxnetは潜水艦そっくりに描かれています。

FLame_ky

コーディングのミスがなければStuxnetが見つかることはなく、APTの歴史は少し違ったものになっていたことでしょう – Stuxnetより前に少なくともAgent.btzAuroraの存在が知られてはいましたが。なおAgent.btzは、大規模で悪質なサイバー活動Epic Turlaと関わりがあります。Epic Turlaは新たにデータを入手するたびに、規模を拡大し、悪質さを増しています。

Epic Turlaをクリックすると、この攻撃のステータス、種類、検知された年、活動期間、標的数、標的プラットフォーム、最も影響を受けた国を示す地図が表示されます。

Epic_Turla_ky

その下には、この脅威の補足情報が表示されます。拡散方法、目的、目立った特徴、確認された標的のほか、攻撃元の属性の手がかりになりそうな痕跡が記載されています。

さらにその下にあるリンクからは、その脅威に関する詳細な調査結果が掲載されたSecurelistのページにアクセスできます。

メイン画面に戻りましょう。ここで「フィルター」機能を使うと、数々の特徴からAPTを絞り込むことができます。たとえば、iOSを標的とするAPTを探すとしましょう(ちょっと特殊なケースかもしれませんが)。フィルター項目に属性を設定すると、「駆逐艦」2隻と「ミサイル艇」1隻が表示されます。

iOS_APT

FinSpyHacking Team RCS、そして新たに検知されたCloud Atlas(悪名高きAPT、RedOctoberの後継)です。この3隻はいずれも、iOSデバイスを主な標的としています。Hacking Team RCSは、2008年から活動していたとみられます。

「APT」とは、2006年に作られた造語です。この言葉の意味を詳しく明確に定義する試みは何度かありましたが、いまだに定義が曖昧なままです。大きな原因は、Advanced Persistent Threat(高度で執拗な脅威)という言葉が、攻撃の主体(ハッキンググループ、非友好的なサイバー武力集団など)を指すことを目的としていたためです。現在は、正しいかどうかはともかく、APT集団が使用するマルウェアや、APT集団の攻撃活動を指す言葉として使われるようになっています。

APTが何であるかについては、以前のブログ記事(12)をご覧ください。

一言でいうと、APTは、技術力と目的意識と十分な資金を持ち、組織化されたサイバー攻撃者による脅威です。「Advanced」(高度)とは、攻撃者が侵入、情報収集、データ窃取などのあらゆる手法を自在に使いこなせるということです。APTごとに独自の手法が用いられるのが普通ですが、APT間で部分的に「コードが流用」されることも珍しくありません。

「Persistent」(執拗な)は、攻撃者が特定のタスクを優先することから来ています。たとえば、特定の団体の特定のデータを盗み出すなどです。一般的な犯罪者のように行き当たりばったりで情報を探すことはしません。また、攻撃は一度限りではありません。Logbookを見てもお分かりのとおり、何年にもわたり継続することがほとんどです。攻撃者は、気付かれないようにひそかに行動するのを好み、検知されることなくできる限り長期にわたって標的のインフラへアクセスし続けようとします。

Kaspersky Labのエキスパートは、近い将来、APTの手法を採用するサイバー犯罪者が増えると見ています。侵入先のインフラに潜伏し続ければ、一度限りの攻撃よりも多くの利益を得られるからです。

ヒント