イスラエル警察、サイバーセキュリティ専門家を逮捕

イスラエル当局は先ごろ、情報セキュリティの専門家を逮捕しました。捜査当局によると、この人物は自分が本来守るべき企業ネットワークに、私的な時間を使って意図的に侵入していたとされています。警察はアシュケロン在住の40代の男性が、イスラエル国内の数十社に不正侵入し、組織的に機密データを盗み出していた疑いがあるとみています。

1カ月にわたる捜査の末に逮捕

決め手となる逮捕は、8月18日、綿密な数カ月にわたる捜査の末に実行されました。精鋭サイバー犯罪対策部隊「Lahav 433」が容疑者の自宅を徹底的に捜索し、重要なコンピューター機器を押収しました。捜査当局は同時に、複数の企業拠点でも標的を絞った捜索を実施しています。裁判所は当初、この男性の勾留をさらに6日間延長する決定を下しました。さらに裁判所は、被告側の要請を受け入れ、氏名の公表を全面的に差し止めています。

容疑者の職歴

イスラエルメディア各社の詳細な報道によると、容疑者は地元の大手インテグレーション企業で情報セキュリティ専門家として勤務していました。捜査当局は、この男性が完全に単独で犯行に及んでおり、前科もないとみています。当局はその後、コンピューター法の重大な違反、違法な盗聴、深刻なプライバシー侵害、その他多数の関連容疑で男性を起訴しました。ただし、裁判所による正式な有罪判決はまだ下されていません。現時点では、犯行の根本的な動機は完全に不明のままです。

「WindowsAudit」マルウェアの発見

この複雑な経緯は4月下旬に始まりました。あるクライアントが、非常に疑わしいファイルの解析を依頼するため、イスラエルのサイバーセキュリティ企業Proferoに相談を持ちかけたのです。セキュリティ専門家は迅速に「WindowsAudit.exe」というファイルを特定しました。これは.NET 8フレームワークを用いて構築された、通常とは異なるリモートアクセス型トロイの木馬(RAT)でした。重要な点として、この悪意あるソフトウェアは完全なシステム権限で動作しており、感染したコンピューターを完全に遠隔操作可能な管理ツールへと変貌させていました。

高度な機能と制御チャネル

WindowsAuditは、Discordを主要な指令・制御(C2)チャネルとして巧妙に利用していました。同時にMQTTを確実なバックアップ手段として維持し、Telegramへシームレスに切り替える機能も備えていました。この高度なマルウェアは、機密性の高い認証情報を容易に窃取し、複雑なActive Directory環境を操作することができました。さらに、キー入力の記録、スクリーンショットの取得、ウェブカメラ映像へのアクセス、そして秘匿性の高いWireGuardトンネルの確立も行っていました。憂慮すべきことに、Windowsをセーフモードで起動した直後に、堅牢なエンドポイント検知・対応(EDR)ソリューションを完全にアンインストールする機能まで備えていました。

致命的な欠陥が発覚のきっかけに

幸いなことに、WindowsAuditの開発者は重大なミスを犯していました。このたった一つのミスが、最終的に攻撃者の特定につながったのです。マルウェアのすべての実体には、暗号化されていないDiscordボットトークンがそのまま埋め込まれていました。この重要なトークンを入手したProferoのチームは、攻撃者の隠れたインフラを首尾よく監視することに成功しました。チャンネルの履歴を綿密に分析し、傍受したコマンドの実行結果を収集しました。この非常に貴重なデータから、特定のホスト名、キャプチャされたスクリーンショット、機密性の高いActive Directoryの詳細情報、さらに多数の組織のネットワークから抽出された多様な情報が明らかになりました。

被害の全容を把握する

Proferoは、少なくとも25の異なる被害組織を確認しました。攻撃者は特定の複数のネットワーク内で、ドメイン管理者としての絶対的な権限を獲得することに成功していました。こうした最高権限があれば、破壊的なランサムウェアを大規模かつ壊滅的な形で展開することも容易だったはずです。ただし、イスラエルメディアの情報筋は、実際に侵害された企業の数は数十社、あるいは数百社に上る可能性もあると慎重に指摘しています。

インシデント対応から刑事事件へ

このデジタルの痕跡は、専門家たちを国家サイバー緊急対応チーム(CERT-IL)と国家警察へと直接導きました。Proferoは法執行機関に対し、詳細な時系列記録、重要な技術的証拠、そして個々の感染事案を特定の組織へと直接結びつける動かぬ証拠を提供しました。この綿密に収集された資料が、当初は通常のインシデント対応調査だったものを、大規模な刑事事件へと発展させる決め手となりました。

AI支援による開発と異例の拡散経路

WindowsAuditの背後にある独特な開発手法は、大きな注目を集めました。Proferoの専門的な評価によると、作者はAIによるプログラミングツールを積極的に活用していたとみられます。さらに攻撃者は、非常に異例な経路を通じてマルウェアを拡散させていました。これらの経路には、具体的には人気のゲームソフトウェアや、一見無害な子供向けプログラムが含まれていました。加えて、感染チェーンの重要な部分では、すでに企業ネットワーク内に導入されていた正規のセキュリティコンポーネントが悪用されていました。ただし当局は、この開発者の氏名を公には明らかにしていません。

警察は包括的な捜査を粘り強く継続しています。盗まれた情報の総量については、まだ発表されていません。さらに捜査当局は、逮捕以前に攻撃者が被害企業を脅迫しようとした形跡は一切確認していないとしています。結局のところ、一つの疑わしいファイルから始まった捜査は、極めて稀有な事態を白日の下にさらしました。サイバーセキュリティ業界で確固たる地位を築いていた人物が、企業に対する大規模かつ組織的な一連の侵害事件の主犯格として、今や容疑者の立場に立たされているのです。