piyolog

2013年3月に発生した韓国へのサイバー攻撃をまとめてみた。

インシデントまとめ | 06:13 |

で、韓国のサイバー攻撃ってつまるところ何だったの？

という方は既に素晴らしく整理された情報が沢山あるのでそちらを読めば万事解決になると思います。

• 韓国同時多発サイバー攻撃について - セキュリティは楽しいかね？ Part 2
• 韓国で発生した大規模サイバー攻撃、日本は大丈夫か？ - ITpro
• 韓国への大規模サイバーテロ事件について | snowwalker’s blog
• ず’s / 韓国の大規模ダウンは資産管理サーバー経由での攻撃か
• Dark South Korea Total War Review - ERIC ROMANG BLOG

ここではいくつかトピックを絞って報道や政府、セキュリティベンダから発表されている情報をまとめています。また、まとめるにあたり多数の韓国語記事をインプット対象としていますが、piyokangoに韓国語力がないため翻訳サイトを通して内容を確認しています。元の記事の意味と異なる可能性があり、その際はご指摘いただけると大変ありがたいです。

尚、このサイバー攻撃と関連性が不明な下記情報についてはここでは割愛しました。

• LG U+の改ざん
• ウリィ銀行へDDoS
• KBS HPの改ざん疑惑
• 朝鮮通信へのネットワーク不正アクセス疑惑

他、まだ載せきれていない情報があるので適宜更新していく予定です。

サイバー攻撃を受けた組織の被害情報

ここではサイバー攻撃を受けた6つの組織に関する被害の情報をまとめます。韓国放送通信委員会(KCC)によれば6組織あわせたPC、サーバー等の被害総台数は当初約32,000台と発表されていますが、その後の報道によれば詳細な調査結果から約4万8700台が被害を受けたとも報じられています。

• 農協銀行
  • 詳細被害台数不明
  • 西大門農協本店で少なくとも2000台が被害 (サムスンの緊急修復サービス台数より) *1
  • 30店舗で被害 *2
  • 全従業員用端末の1割程度が使用不可能な状況
  • ATMでは約半数(47.7%)が被害(農協ATMは全台で約4500台) *3
  • グループ企業の被害 *4
    • 農協生命保険：72台が被害
    • 農協損害保険：50台が被害
  • 中央本部と一部の営業店の従業員の端末を中心とした被害 *5
  • Ahnlabのセキュリティソリューションを利用。
• 新韓銀行
  • 詳細被害台数不明
  • 57店舗と営業店で被害
  • メインサーバーがダウン
  • DBに関連するネットワークトラブルを中心とした被害 *6
  • Ahnlabのセキュリティソリューションを利用。
• 済州銀行(新韓銀行の子会社)
  • 詳細被害台数不明
  • 支店従業員の端末を中心とした被害
• KBS
  • 職員PC約5000台が被害、基幹業務システムへの影響も *7
  • Ahnlab,hauri両社のセキュリティソリューションを利用。
• MBC
  • 約800台(全社台数の半数程度)が被害
  • Ahnlabのセキュリティソリューションを利用。
• YTN
  • PC約500台、サーバー5，6台が被害
  • hauriのViRobotを利用。

各組織のセキュリティソリューション利用状況の参照元 *8 *9

被害直後の各組織の対応・状況

被害後の組織の状況、及びその対応をまとめます。

• 農協銀行、及びその関連組織
  • サイバー攻撃発生後、営業店舗の窓口業務が麻痺。
  • 農協生命、農協損保でも同様の被害が発生した。
  • 当日の業務時間を18時まで延長する措置。
  • 金銭被害は報告されていない。

• 新韓銀行
  • 金融取引に用いられる取引総合電算システムで障害が発生。
  • 1時間半程度、57店舗と営業店の窓口業務、インターネットバンキング、スマートバンキング、CD/ATMの利用に支障が生じた。*10 *11
  • サムスンカードが利用不可(新韓銀行口座と連携) *12
  • ロッテカード、新韓カードのデビットカードが利用不可(新韓銀行口座と連携) *13
  • 当日の業務時間を18時まで延長する措置。
  • 金銭被害は報告されていない。
  • セキュリティ担当者は20日から25日までの24時間体制で対応。
  • 14時過ぎに被害を確認してからおよそ1時間半で復旧完了。*14

• 済州銀行
  • 支店の端末内のファイルが削除された。
  • ATM利用に支障が生じた。
  • 当日の業務時間を18時まで延長する措置。
  • 金銭被害は報告されていない。

• KBS
  • ネットワーク異常が確認されてすぐに「マシン電源をオフし、作業を中断せよ」という社内放送が流れた。
  • 当該原因が把握されるまでの間社内業務が全て中断となった。
  • 放送システムには異常は見られなかった。
  • KBSラジオでは放送業務に支障が生じており、リスナーや文字情報が放送できなかった。*15
  • KBSラジオで使用する音楽について、普段はネット経由で取得しているためCDを探すのに苦慮した。*16
  • 自社HPのアクセスを遮断した。
  • 報道情報の作成、資料検索に支障が生じた。
  • 釜山の放送局は接続が出来ないため21時からのニュースに続き放送予定だったコンテンツをカットした。*17

• MBC
  • 全ての従業員に対し、コンピュータの電源を強制的に終了するよう社内放送で指示。
  • 放送システムには異常は見られなかった。
  • 記事の出力や外部制作された映像記事を内部ネットワークを介して送受信することが難しく、報道制作に影響が生じた。
  • 個人のノートPCや携帯電話で緊急業務を処理した。*18

• YTN
  • 放送編集機器、及び報道情報用のシステムが使用不可となったため、生放送形式での進行となった。*19 *20

一連のタイムライン

韓国

日本

• 2013/03/21
  • 警察庁が国内の金融機関、電力会社等へ注意喚起、攻撃が確認された場合はすぐ報告するよう都道府県警察へ指示したことを記者会見で報告。*53
  • 国内での被害はないことを官房長官が記者会見質疑応答にて回答。*54
• 2013/03/22
  • 自民石破幹事長が韓国で起きたサイバー攻撃を受けて国内の法整備検討を始めると記者会見にて回答。*55

政府合同対策チームによる調査状況

• 済州銀行を除く5つの組織(農協、新韓銀行、KBS、MBC、YTN)を対象に調査・分析中。
• これら組織から悪性コード14種類を確認。
• 農協以外の資産管理サーバーで異常な接続を試みた海外のIPアドレスを確認。
• 農協のシステムからは海外のIPアドレスは確認されなかった。
• 済州銀行は悪性コードの入手ができていない。
• 接続元IPアドレスに海外(欧米、中国含まず)4か国(TBS報道では6か国)を確認した。他にないかについては現在調査中。

参考元: *56 *57

今回のサイバー攻撃スキーム

冒頭紹介したまとめ記事でも説明ある通り、破壊被害を受けた端末にマルウェアを格納、実行させたのは各社が導入している資産管理サーバー（ウィルス対策ソフトの更新管理サーバー）であるとKCCが報告しています。この資産管理サーバーへどのように入り込んだのかについてはセキュリティベンダがメールやWebを通じた感染等様々な推測を含む解析情報を出しているものの、3月25日時点で確定的な情報は出ていません。攻撃をだれが行ったかについても、一時農協システムへ接続していたIPアドレスから名指しでの推測が行われていましたが、このIPアドレス情報自体が誤報であったことが改めて報告され、現在攻撃元を確定させる情報は出ていません。また3月25日に韓国警察が接続したIPに海外(欧米、中国含まれず)4か国を確認したことを明らかにしています。3月29日にAhnlabが同社製品APCサーバーに認証バイパスの脆弱性があり、これを突かれて攻撃が行われたと報告しました。

IssueMakersLabが発表した「Operation 1Mission」

4/9にIssueMakersLab*58が今回の攻撃で不明点となっていた侵入経路について報告しています。

Operation 1Mission - IssueMakersLab

尚、上記情報を@nilnil26さんに翻訳していただきました。ありがとうございます。

• Operation 1Missionのスキーム図
• Operation 1Missionの時系列情報

Operation 1Missionとは何か

IssueMakersLabによれば、今回の3.20大乱は2012年1月頃から行われていた作戦の一部(サブミッション)であり、6年以上活動を続けている特定の組織との関連性が見られたことを報告しています。また複数のマルウェアに含まれるpdbのファイルパスに「1Mission」という文字列が含まれることから、IssueMakersLabはこの一連のキャンペーンを「Operation 1Mission」と呼んでいるようです。

• 2007年より活動を行っている特定組織との関連性を示す情報
  • 圧縮に用いられるパスワードが同じ16桁の文字列
  • 特定の組織が確保したと考えられる一次接続先のC&Cサーバーと同じプロトコルやコマンド体系が利用
  • 国家機密関係の情報を暗号化するキーが同じ値
  • マルウェアに残存する開発情報から見られる類似性

攻撃スキーム

IssueMakersLabによる攻撃スキームは次の通りです。尚、組織によってこれら一連のStepの進捗には差があり、大まかには2012年6月から2013年1月末までに行われたと報告されています。

Operation 1Missionの時系列まとめ

尚、IssueMakersLabによって公開された情報は韓国政府による公式な調査結果ではなく、このグループの独自調査に基づいた報告であるため、他セキュリティベンダから出ている報告含め、今後これら断片的に出ている情報を俯瞰した政府公式の報告が待たれます。

サイバー攻撃で使われたマルウェアに関する情報

セキュリティベンダ等から報告されている情報をまとめたマルウェアの活動フローは下記の通りです。赤枠がHDDの消去を行い破壊活動を行っている処理となります。報告されている解析情報を見る限りでは大枠の動きは同様と思われますが、自動実行される時刻(Symantec解析報告より)が異なっていたり等、挙動が一部異なる亜種も確認されているため、下記フローは参考程度として見るに留めて頂くことを推奨します。

入手した検体を実行してみたところ、実行後即再起動するのではなく、しばらくしてから再起動が行われました。これは上記フローでも書いている通り、改ざんをしてから再起動をするまでの間にディスクの削除処理を行っているためと考えられます。組織によりシステムトラブルが発生した時間に差が生じたのは、予めそのように仕組まれていた可能性も否定できませんが、恐らくは組織で導入されている端末のスペックによる影響を受けたためではないかと考えられます。またkbs.exe、sbs.exe、imbc.exeなど標的となる組織の名前だろうと思われるマルウェアが複数確認されていますが、その内sbs.exeは壊れているのか、動作しないといった報告があります。*59 このファイル名との関連を疑わせるSBSでは今回のサイバー攻撃による被害報告はあがっていません。

セキュリティベンダの解析情報（関連情報含む）

• AlieanValut Lab
  Information about the South Korean banks and media systems attacks (魚拓)
  A theory on the South Korean attacks (魚拓)
• AhnLab
  주요 방송사 및 은행 전산망 장애 유발 악성코드 분석 (魚拓)
  방송사 및 금융사 공격 관련 중간 분석 결과 발표 (魚拓)
  안랩, 불특정 다수를 상대로한 추가 감염 주의 당부 (魚拓)
  안랩, 불특정 다수를 상대로한 추가 감염 주의 당부 (魚拓)
  안랩, 3.20 전산망 마비 농협관련 자체 중간조사 결과 발표 (魚拓)
• Avast
  Analysis of Chinese attack against Korean banks (魚拓)
• FFRI
  2013-03-22 緊急レポート：韓国サイバー攻撃マルウェア検証 (魚拓)
  2013-03-27 緊急レポート：韓国サイバー攻撃マルウェア詳細解析結果 (魚拓)
• FireEye
  More Insights on the Recent Korean Cyber Attacks (Trojan.Hastati)
• FSecure
  韓国のワイパーとスピアフィッシングのメール (魚拓)
  韓国へのワイパー攻撃の歴史 (魚拓)
  システム破壊の本当の目的は？ (魚拓)
• HAURI
  주요 방송사 및 금융기관의 전산망 마비 관련 악성코드 정보 (魚拓)
  ［긴급］ 불특정 다수(개인 및 일반 기업) 대상 MBR 파괴 악성코드 확산 주의 (魚拓)
• McAfee
  韓国の銀行、メディアに対するサイバー攻撃事件について (魚拓)
• nProtect
  ［긴급대응］언론사 방송국, 금융사이트 부팅 불가 사고 발생 (魚拓)
• NSHC SECURITY
  Red Alert Research Report 3.20 South Korea Cyber Attack v1.6(PDF)
• Sophos
  DarkSeoul: SophosLabs identifies malware used in South Korean internet attack
• Symantec
  韓国の銀行と放送局に、大規模なサイバー攻撃 (魚拓)
  韓国でのサイバー攻撃で、リモートの Linux Wiper 見つかる (魚拓)
  韓国へのサイバー攻撃で別の Wiper を確認 (魚拓)
  2011 年と 2013 年の韓国へのサイバー攻撃に関連性はあるか (魚拓)
• TrendMicro
  Deep Discovery Protects Users From Cyber Attacks In South Korea (魚拓)
  韓国への大規模サイバー攻撃、マスターブートレコードを復旧困難にさせる攻撃などを確認 (魚拓)
  How Deep Discovery Protected Against The Korean Cyber Attack (魚拓)
  マスターブートレコードを破壊する韓国企業へのサイバー攻撃、その全体像と教訓とは？ (魚拓)

3/26に多発した障害について

3/26に韓国国内でインターネットへ接続できない、HPが閲覧できないといった障害が多発しました。一部では攻撃によるものとの報告も出ていますが、この障害と3月20日に発生したサイバー攻撃(3.20大乱)との関連性は不明です。

更新履歴

• 2013/03/23 AM 新規作成
• 2013/03/23 AM ニュースソースを追加
• 2013/03/23 PM 最新情報、追加情報を反映
• 2013/03/24 AM 政府合同対策チームの調査状況を追加、誤植修正
• 2013/03/24 AM 最新情報反映、セキュリティベンダの解析情報のリンク、日本の対応状況を追加
• 2013/03/26 AM 最新情報反映
• 2013/03/27 AM 最新情報反映
• 2013/03/29 AM 最新情報反映、攻撃スキーム、マルウェア処理フローを修正。(情報提供頂いた@cci_forensicsさんthx!!:))
• 2013/03/31 AM AhnLabによる報告等最新情報反映
• 2013/04/01 AM 被害台数について誤解を招く表記があったため修正。
• 2013/04/10 AM IssueMakersLabによるOperation 1Missionについて追記。

ツイートする