米国務省の司法妨害者情報提供者報奨金プログラム(Rewards for Justice、RFJ)は、イラン・イスラム革命防衛隊サイバー電子軍(IRGC-CEC)の幹部であるアミール・ヤリアブ(Amir Yaryab)容疑者の身元特定または所在確認につながる情報に対し、最大1,000万ドルの報奨金を提示すると発表しました。
この懸賞金は、外国政府のために活動し、コンピュータ詐欺および濫用防止法(Computer Fraud and Abuse Act)に違反して米国の重要インフラに対する悪質なサイバー活動を行う人物に関する情報を求めるものです。米当局は、ヤリアブ容疑者がIRGC-CECサイバー作戦司令部を率いていると主張しています。
RFJによれば、ヤリアブ容疑者はShahid HemmatおよびShahid Shushtariの各部門を指揮しているとされ、これらの部門は米国、欧州、中東の各組織を標的としたサイバー攻撃およびサイバーを利用した情報工作に関与しているとされています。
攻撃対象とされる分野は、国防、メディア、海運、旅行、エネルギー、金融サービス、通信など多岐にわたり、いずれも攻撃による混乱が経済的影響を及ぼしかねない分野です。
RFJによれば、ヤリアブ容疑者はCyberAv3ngers、Dadeh Afzar Arman(DAA)、Mehrsam Andisheh Saz Nik(MASN)といったIRGC-CEC傘下組織を統括しているとされています。
CyberAv3ngersは特に運用技術(OT)を狙った攻撃活動で知られる存在となっており、露出した産業用制御機器が従来型のITターゲットからサイバー・フィジカルリスクへと標的をシフトさせ得ることを示しています。
2023年後半、CyberAv3ngersを名乗るIRGC関連の攻撃者は、インターネットに露出したUnitronics Visionシリーズのプログラマブルロジックコントローラ(PLC)とヒューマンマシンインターフェース(HMI)を標的としました。
これらの機器は上下水道環境をはじめとする重要インフラ環境で使用されています。
FBI、CISA、NSA、EPA、および国際的なパートナー機関による共同勧告によれば、この攻撃キャンペーンは2023年11月から2024年1月の間に少なくとも75台のUnitronics製機器を侵害し、その中には米国の上下水道分野に属する機器が少なくとも34台含まれていたとされています。
侵入経路は単純なものでした。攻撃者はデフォルトのTCP通信ポートである20256番を使い、デフォルトパスワードのまま、あるいはパスワードが設定されていないインターネット接続機器にアクセスしていました。
CISAによると、攻撃者は正規のラダーロジックファイルを、入力も出力も持たないファイルに置き換えていました。ラダーロジックはPLCの処理動作を制御するものであるため、この改変によって機器が意図した通りに動作しなくなる恐れがありました。
攻撃者はさらに、機器の名称を変更し、ロジックソフトウェアを旧バージョンにロールバックさせ、アップロード・ダウンロード機能を無効化し、リモートポートを20257番に変更したうえで、プログラミング設定にパスワード保護を有効化するなど、業務への支障をさらに拡大させました。
影響を受けたHMIには反イスラエルを標榜する改ざんメッセージが表示され、オペレーターがプロセス情報や入出力情報を確認できない状態になりました。これらの手口は業務を単に妨害するだけでなく、リモートアクセスや復旧作業を遅延させることも狙いとしていたとみられます。
今回のRFJによる懸賞金提示は、国家が関与する民間産業システムへの攻撃が国家安全保障上の重大な問題であるという米国政府の見解を裏付けるものです。
防御側にとって、今回の事例はOTセキュリティの基本原則を改めて浮き彫りにしています。すなわち、インターネットへの露出を排除すること、デフォルト認証情報を変更すること、リモートアクセスに多要素認証(MFA)を義務付けること、OTネットワークをセグメント化すること、復旧可能なロジックのバックアップを維持すること、そしてPLCのロジック・ポート・ファームウェア・設定への不正な変更を監視することです。
CISAはさらに、影響を受けるUnitronics製機器およびエンジニアリングワークステーションのアップグレードと、必要なリモートアクセスをファイアウォール、ゲートウェイ、プロキシ、またはVPNの背後に配置することを推奨しています。
不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストをセキュリティチームに。ANY.RUNで調査力を強化
翻訳元: https://cyberpress.org/us-offers-10-million-reward-for-irgc-cyber-chief-linked/
