米国、イランIRGCサイバー部門幹部アミール・ヤリャブ氏に1,000万ドルの懸賞金

米国務省の司法妨害対策報奨金プログラム(RFJ)は、イラン・イスラム革命防衛隊サイバー電子コマンド(IRGC-CEC)の高官であるアミール・ヤリャブ氏の身元特定または所在確認につながる情報に対し、最大1,000万ドルの懸賞金を提供すると発表しました。

この懸賞金は、外国政府の指揮または統制下で活動し、米国の重要インフラを標的にコンピュータ詐欺および濫用防止法(CFAA)に違反する悪意あるサイバー活動に関与する個人についての情報が対象です。

アミール・ヤリャブ氏に1,000万ドルの懸賞金

ヤリャブ氏はIRGC-CECのサイバー作戦コマンドの指導者として認識されており、イランの国家関与型攻撃的サイバー活動の中心的な位置を占めています。

ComputerSecurity

同氏はまた、米国、欧州、中東の組織を標的としたサイバー攻撃および情報操作に関与しているとされるShahid HemmatやShahid Shushtariを含む、IRGC-CECの複数の部門を指揮している疑いも持たれています。

これらの攻撃キャンペーンは、防衛、メディア、海運、旅行、エネルギー、金融サービス、通信を含む重要インフラ分野を標的にしてきたとされています。

RFJによると、ヤリャブ氏はCyberAv3ngers、Dadeh Afzar Arman(DAA)、Mehrsam Andisheh Saz Nik(MASN)といったIRGC-CEC関連グループを統括しており、これらのグループは世界各地の民間インフラに対するマルウェアを用いた攻撃に関与しているとされています。

特にCyberAv3ngersは、運用技術(OT)環境への攻撃で注目を集めています。2023年後半、CyberAv3ngersを名乗るイランIRGC関連の攻撃者は、インターネットに公開されたUnitronics Vision Series製プログラマブルロジックコントローラ(PLC)およびヒューマンマシンインターフェース(HMI)を標的にしました。この中には米国の水道・下水処理施設で使用されている機器も含まれていました。

これらの攻撃者は、インターネットからアクセス可能で、初期設定のままの認証情報や脆弱なパスワード、あるいはパスワードが設定されていないPLCを侵害したとされています。被害を受けたシステムの多くは、初期設定のTCP通信ポート20256番で稼働しており、攻撃者に予測しやすい侵入口を与えていました。

FBI、CISA、NSA、EPA、および国際的なパートナー機関による共同勧告によると、2023年11月から2024年1月の間に少なくとも75台のUnitronics製デバイスが侵害され、そのうち少なくとも34台は米国の水道・下水処理分野のシステムでした。

アクセス権を取得した攻撃者は、正規のラダーロジックファイルを悪意あるファイルまたは機能しないファイルに置き換えました。ラダーロジックはPLCの産業プロセス動作を制御するものであるため、これらの置き換えは機器の正常な動作を妨げ、深刻なサイバー・フィジカル被害につながる可能性があります。

攻撃者はまた、侵害したPLCの名称を変更し、ラダーロジックソフトウェアのバージョンをダウングレードし、アップロード・ダウンロード機能を無効化し、リモート通信ポートを20256番から20257番に変更したほか、プログラミング設定をパスワードで保護しました。

これらの行為は、エンジニアがリモートで被害システムにアクセスしたり復旧させたりすることを妨げ、業務を混乱させ復旧作業を阻害することを目的としていたとみられます。

複数の事案では、攻撃者はHMI画面に「You have been hacked, down with Israel. Every piece of equipment ‘made in Israel’ is a legal target for CyberAv3ngers.(あなたはハッキングされた。イスラエルに死を。『イスラエル製』のあらゆる機器はCyberAv3ngersの正当な標的である)」と改ざんメッセージを表示しました。このメッセージにより、オペレーターは通常のプロセス読み取り値、アラーム、入出力データを確認できなくなりました。

この事案は、インターネットに公開された運用技術資産、特に初期設定のまま稼働するPLCがもたらし続けているリスクを浮き彫りにしています。

重要インフラ組織に対しては、不必要なインターネット公開を排除し、多要素認証を導入し、固有の認証情報を徹底し、PLCのパスワード設定を監査し、不正なロジック、ポート、ファームウェア、設定の変更を監視するよう推奨されています。

今回の1,000万ドルというRFJの懸賞金額は、米国当局がIRGC関連のサイバー作戦による民間・産業システムへの脅威を、国家安全保障上の重大な脅威と位置付けていることを示しています。

活発化するマルウェアやフィッシングの情報を、発生から24時間以内にSOCへ届けて常に最新の状態に保ちましょう。 早期検知でインシデントを防ぐANYRUNをお試しください。