- 研究者のDominik Reichel氏が発見したSLEEPWALKERは、ESETのエージェントを装うステルス型マルウェアインプラント
- 悪意のあるコードは一切含まれておらず、細工されたネットワーク信号を受信して初めて活動を始める
- 特定の標的を狙う国家関与のプロジェクトである可能性が高いが、活発なキャンペーンは今のところ確認されていない
セキュリティ研究者が、かなり異色のマルウェアを新たに発見しました。
ほとんどのマルウェアには、システムのフィンガープリンティング、ネットワークマッピング、データ窃取、キーロギング、スクリーンショット撮影、カメラやマイクへのアクセスといった機能があらかじめ組み込まれています。感染すると、まずデバイスのインターネット接続を使って攻撃者側と通信を確立し、どの機能を使うかの指示を待つのが一般的です。
しかし、セキュリティ研究者のDominik Reichel氏が発見したのは、まったく異なるタイプのマルウェアでした。上記のような機能を一切持たず、「起こされる」までほぼ完全に沈黙を保つよう設計されているのです。同氏はこれを「SLEEPWALKER」と名付けました。
活発なキャンペーンは未確認
このインプラントには悪意のあるコードが含まれていないため、セキュリティソフトに検知されるような要素がありません。ESETのManagement Agent用の正規Windowsコンポーネントに偽装することで人目を欺いており、これにより単独の不審なプログラムとしてではなく、信頼されたアプリケーションの内部で動作できるようになっています。
SLEEPWALKERはネットワークトラフィックを監視し、特別に細工された信号を待ち受けています。その信号を受信したときにのみ活動を開始する仕組みです。さらにこの信号は、マルウェアに対して実行すべき内容——さまざまな活動のスケジューリング、他システムとの通信、追加プログラムの受信、さらにはコード実行まで——を「教える」役割も担っています。
Reichel氏によると、このマルウェアは昨年のいずれかの時点でVirusTotalに提出されていました。活発なキャンペーンでは検出されておらず、確認済みの被害者、業界、国、組織はこのサンプルに関して存在しません。また同氏は、このマルウェアがそもそも報告者の環境にどのように侵入したのか、誰が運用しているのか、他にどのようなツールが付随していたのかは不明であると強調しています。
さらに同氏は、コードにはやや「粗削り」な部分があるとも述べています。設計自体は特異であるにもかかわらず、いくつかの弱点が見られることから、SLEEPWALKERはまだ開発途上のものだった可能性が示唆されます。ただし、より新しいバリアントが野放しになっているかどうかは、同氏にも分かっていません。
それでも、このマルウェアの性質を踏まえると、Reichel氏は無差別攻撃を目的に作られたものではないと見ています。むしろ、特定の標的を念頭に置いた国家主体によって開発された可能性が最も高いとしています。
