Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2011.02.18 15:44:17 +09'00'

Stuxnet－ 制御システムを狙った初のマルウエア －JPCERT/CC
小熊 信孝

目次

1. 発見から分析までのニュース
2. Stuxnetと動作の概要
3. Stuxnetの教訓
4. 参考
Copyright® 2011 JPCERT/CC All rights reserved.

2

発見から分析までのニュース

Stuxnetの発見
2010年6月17日：ベラルーシに拠点を置くアンチウイルス会社
VirusBlokAda 社がマルウエアのサンプルを発見（当初この報告は世界的には注目されなかった）

Google EarthCopyright® 2011 JPCERT/CC All rights reserved.

3

発見から分析までのニュース

Stuxnetの発見

http://www.anti-virus.by/en/tempo.shtml
Copyright® 2011 JPCERT/CC All rights reserved.

4

発見から分析までのニュース

Stuxnetの発見
2010年7月15日：セキュリ
ティブロガーBrian Krebs
がVirusBlokAda社の発見を報告

2010年7月16日：VeriSignが、Stuxnetに使われたコード署名用の証明書を無効化
Google EarthCopyright® 2011 JPCERT/CC All rights reserved.

2010年7月16日： Siemens社がサポートサイトに情報を掲載

2010年7月16日：Microsoftから、関係する最初のセキュリティアドバイザリ(2286198) が公開（Windowsシェルの脆弱性）
5

発見から分析までのニュース

Stuxnetの影響
2010年10月3日：イランの国営テレビ
各局は2日、インターネットを通じイランの核計画を妨害しようとした｢核スパイ｣数人が逮捕されたと報じた。
(AFP)

Google EarthCopyright® 2011 JPCERT/CC All rights reserved.

2010年9月28日：イラン鉱工業省の情報技術部門幹部の話によると、イランが海外から大規模なサイバー攻撃を受けており、産業用パソコン約3万台に感染が見つかった。 (トレンドマイクロ)2010年9月29 日： Virus
Bulletin のカンファレンスでシマンテックがStuxnetに関する詳細レポートを報告
6

発見から分析までのニュース

Stuxnetの分析
2010年11月12日：Stuxnetの攻撃対象とメカニズムを解明し、レポート（シマンテック)

W32.Stuxnet Dossier
http://www.symantec.com/connect/blogs/w32stuxnet-dossier

Google EarthCopyright® 2011 JPCERT/CC All rights reserved.

7

発見から分析までのニュース

Stuxnetの影響
2010年11月23日：ＩＡＥＡの天野事務局長は、理事国に配布したイラン核問題に関する報告書で、同国が１６日にウラン濃縮活動を一時的に停止したことを明らかにした。(時事通信)

2010年11月29日：イランのアハマディ
ネジャド大統領は同国のウラン濃縮施設の遠心分離機がコンピューターウイルスに感染していたことを明らかに。
(ロイター)
2010年11月16日：IAEAによりイ
ラン中部ナタンツのウラン濃縮施設で、約８４００ 台の遠心分離機がすべて停止していることが確認される。（毎日.jp）

Google EarthCopyright® 2011 JPCERT/CC All rights reserved.

2010年11月22日：イランは２２日までに約４６００台が再稼働したことをIAEAに報告（毎日.jp）
8Stuxnetと動作の概要

Stuxnetの構造

 亜種を含めて4種類のバイナリが存在するが、いずれもパッケージ化された状態で500～600Kバイトのサイズ⇒ 一般的なワームと比べて特別大きいわけではない 環境に応じて動作を変え、多様な形態をとって標的システムに展開
 C&Cサーバと通信して動作を変え、自身を最新版に更新
 StuxnetのP2P網を介しても自身を最新版に更新
 PLCを制御するWinCC/PCS7 (Siemens社製DCS)やPLCにも侵入(コード書換え)[用語解説] C&Cサーバ (Command and Control server)
マルウェアに対して動作指令を出すためにインターネット上にマルウェア作者が設置するサーバ．
Copyright® 2011 JPCERT/CC All rights reserved.

9Stuxnetと動作の概要

Stuxnetの動作概要

1) 標的組織に感染✔複数の脆弱性、リムーバブルメディア
2) 自己更新✔最新化と攻撃の拡張
3) 標的システムに感染✔特定の環境のみが対象
4) 本攻撃✔特定の産業施設を制御
Copyright® 2011 JPCERT/CC All rights reserved.

まずは社内網に深く深く侵入
侵入後でも必要ならStuxnetの本体を更新
標的が見つからないと沈黙
標的が見つかれば秘かに悪事
10

Stuxnetと動作の概要

Stuxnetの動作 ～標的組織に感染
Windowsシステム上で感染範囲を拡大— 2000, XP, 2003, Vista, サーバ2008,7,サーバ2008R— 感染率の高い地域に偏りがある (理由は不明)
イランや中国で多数の感染PCが報告されている幸い日本では皆無に近い

標的組織に感染自己更新
標的システムに感染
本攻撃

Windowsの複数の脆弱性を利用するなど複数の方法で感染させる
 利用された複数のゼロデイ脆弱性 (次のシート参照)
 感染方法 (後述)
一旦感染に成功すると検知されないようにして延命をはかる 自身を隠蔽するためにrootkitをインストール Mcshield.exeやavguard.exeなどWindowsのセキュリティ関連プロセスを終了させる
Copyright® 2011 JPCERT/CC All rights reserved.

11

Stuxnetと動作の概要

Stuxnetの動作 ～標的組織に感染
拡散に悪用された脆弱性
脆弱性の内容$5万~$50万?

セキュリティ・アドバイザリ

公開日

Windows シェルの脆弱性により、リモートでコードが実行される

MS10-046

印刷スプーラー サービスの脆弱性により、リモートでコードが実行される

MS10-061

2010.9.15

ゼロデイ
MS08-067

2008.10.24

Server サービスの脆弱性により、リモートでコードが実行される

2010.7.17

ゼロデイ

Windows カーネルモード ドライバの脆弱性により、特権が昇格される

MS10-073
ゼロデイ

2010.10.13

タスク スケジューラの脆弱性により、特権が昇格される

MS10-092

2010.12.15

Copyright® 2011 JPCERT/CC All rights reserved.

ゼロデイ
12

Stuxnetと動作の概要

感染状況の報告
地域別ホストの感染比率 （２０１０．９．２９現在）※１５５を越える国の40,000以上のホストにおける割合

出典：W32.Stuxnet Dossier, Symantec
Copyright® 2011 JPCERT/CC All rights reserved.

13

Stuxnetと動作の概要

感染状況の報告（つづき）
ターゲットのソフトウエアがインストールされたホストの感染比率 （２０１０．９．２９現在）

出典：W32.Stuxnet Dossier, Symantec
Copyright® 2011 JPCERT/CC All rights reserved.

14

Stuxnetと動作の概要

感染状況の報告（つづき）

出典：カスペルスキー マルウェアマンスリーレポート : 2010 年 9 月
Copyright® 2011 JPCERT/CC All rights reserved.

15

Stuxnetと動作の概要

Stuxnetの動作 ～自己更新 社内網からインターネットへ C&Cサーバのアクセスが可能なら、感染しUpdate
たStuxnetはインターネット上のC&Cサーバに接続して命令を受け取り自身を更新することも可能
 手を変え 間接的にインターネットにイ 品を変えて Update
Stuxnet
ンターネットへのアクセスが可 長期間にわ能で，途中にも感染したたる執拗なStuxnetが存在すれば、攻撃が可能
P2P通信を介して自身を最新版に更新できる
Update イントラネット内で収集した情報をアップロードするような拡張も容易
Copyright® 2011 JPCERT/CC All rights reserved.

標的組織に感染自己更新
標的システムに感染
本攻撃

UpdateStuxnetStuxnet社内網
16

Stuxnetと動作の概要

Stuxnetの動作 ～標的システムに感染
標的組織に感染ネットワーク接続があれば…
 ネットワーク経由

自己更新– Windowsのネットワーク共有を悪用する方法– 印刷スプーラーの脆弱性を悪用する方法– サーバ・サービスの脆弱性を悪用する方法

ネットワーク接続がなくても リムーバブルデバイス経由

標的システムに感染
本攻撃(USBスティックメモリ,etc.)– autorun.infを利用する方法– .LNK脆弱性を利用する方法

クローズド網でも保守用USB
メモリやPCが感染経路になる
Copyright® 2011 JPCERT/CC All rights reserved.

AutoRun.infを無効化する(セキュアUSBメモリ等)だけでは防げない17

Stuxnetと動作の概要

Stuxnetの動作 ～本攻撃
Stuxnetの標的は：— Siemens社製DCSである
SIMATIC WinCC/PCS7— 配下にある特定のPLC

標的組織に感染自己更新
標的システムに感染
本攻撃

WinCCが見つかるとStuxnetの攻撃動作が始まる

参考：Siemens
Copyright® 2011 JPCERT/CC All rights reserved.

18

Stuxnetと動作の概要

Stuxnetの動作 ～本攻撃
WinCCソフトウエアを発見すると、開発元によってシステム内にハードコードされたパスワードでログインする
WinCCソフトウエアのSQLデータベースにテーブルを生成し、書き込んだバイナリ・データでWinCCサーバを感染させる
PLCに送られるSTLを書きかえるとともに、それを隠すためにWinCCのPLCとの通信機能に目隠しを挿入
PLC 上のすべてのコードブロックを表示しようと試みても、Stuxnet によって挿入されたコードは表示されない
Copyright® 2011 JPCERT/CC All rights reserved.

19

Stuxnetと動作の概要

Stuxnetの動作 ～本攻撃
Stuxnetが制御を乗っ取る （最終目的）1. 特定の条件に合致することを確認：— 特定のベンダーの特殊な周波数変換ドライブがある— モーターの動作周波数が807 Hz ～ 1210 Hz
2. 条件に合わなければ何もしない
3. 条件に合えばStuxnetがPLCを制御して本来の動作とは異なったプロセスを行わせる
4. ターゲット装置のセンサーが出す警告信号を止める指令を出して「誤作動」に気付かせない
Copyright® 2011 JPCERT/CC All rights reserved.

20

Stuxnetと動作の概要

Stuxnetの動作 ～本攻撃
狙いは，特定のシステムの破壊または操業妨害
PLC

通信モジュール

高周波コンバータ

出力周波数807～1210Hzの周波数変換装置のみ攻撃

例えば原子炉のウラン濃縮用遠心分離機実害(故障多発)発生の報道
Copyright® 2011 JPCERT/CC All rights reserved.

非常に高速のため用途が限られる
出典：W32.Stuxnet Dossier, Symantec
21

Stuxnetの教訓

Stuxnetが打ち砕いた安全神話• 制御システムはサイバー攻撃と無縁だ• 制御システムをインターネットと切り離しておけば100%安全だ• 特殊なシステム構成だから外部にいる攻撃者に分かるはずない• 新品のUSBメモリだけを使っていれば安全だ• マルウェアが感染するとコンピュータ自体の動きが異常になる (制御システムは異常停止しない限り，稼働させ続ければよい)
Copyright® 2011 JPCERT/CC All rights reserved.

22

Stuxnetの教訓

Stuxnetの教訓
Stuxnetにおける事実

Stuxnetに耐えるために求められるもの

脆弱性を衝いて侵入された• 脆弱性を作り込まない技術力• 事前に脆弱性を除去しておく組織力• 部分的に多少の脆弱性があっても耐えられる(多層防御)ようにシステムを構成しておく技術力

開発者は標的の制御システムを • システム構成に関する情報が攻撃者に知られても知り尽くしていたと見られる耐えられる防衛ラインを作り込む技術力
特定の環境でのみ攻撃動作• 異常を検知する眼力(人)異常をHMIで表示されないよう隠 • 制御システムの異常も疑ってみて総合的に判断する
蔽眼力(人)
今でもStuxnetを知らない制御システム運用者も少なくない• 情報収集のための組織力

ゼロデイ脆弱性が悪用されているので，普通の復旧では再び侵入される• すみやかなシステム復旧と業務継続のための戦略

Copyright® 2011 JPCERT/CC All rights reserved.

23

Stuxnetの教訓

Stuxnetの教訓
防御検知

脆弱性を作り込まない
技術力

制御システム用侵入検知システム

復旧策

ベンダ
多層防御を構成しておく技術力
事前に脆弱性を除去しておく組織力
ユーザ情報収集のための組織力
防衛ラインを作り込む
技術力

Copyright® 2011 JPCERT/CC All rights reserved.

ユーザー支援サービス／連携

異常を検知する眼力(人)
制御システムの異常も疑ってみて総合的に判断する眼力(人)すみやかなシステ
ム復旧と業務継続のための戦略
24

参考•

Symantec: Win32.Stuxnet Dossier
http://www.symantec.com/connect/blogs/w32stuxnet-dossier•

ESET: Stuxnet Under the Microscope
http://blog.eset.com/2010/09/23/eset-stuxnet-paper•

Siemens: Information concerning Malware / Virus/ Trojan
http://support.automation.siemens.com/WW/view/en/43876783•

F-Secure Blog
http://www.f-secure.com/weblog/••

IBM-ISS: An inside look at Stuxnet
http://blogs.iss.net/archive/papers/ibm-xforce-an-inside-look-atstuxnet.pdf
US-CERT: Control Systems Security Program(CSSP)
http://www.us-cert.gov/control_systems/

Copyright® 2011 JPCERT/CC All rights reserved.

25

ご清聴ありがとうございました
Email： scada@jpcert.or.jp余談•••••

Stuxnetの開発にはイスラエルが関与か？
それを示唆するコードの埋め込みやレジストリキーの操作（諸説あり）
現行バージョンは2012年6月24日に拡散を停止
複数の「2010セキュリティニュース」で上位に開発したのはイスラエルと米国らしい（New York Times
2011-1-16）
ブシェール原子力設備へのサイバー攻撃，チェルノブイリ原発事故に匹敵する大惨事につながった可能性も（AP通信2011-1-31）