極めて高度なスパイ型マルウェア「Regin」出現、国家が関与か？

Reginは政府や個人などに対するスパイ活動に使われているといい、「国家によって使われている主要なサイバースパイツールの1つだ」とSymantecは指摘する。

　米Symantecは11月23日、極めて高度な機能を搭載したスパイツールの「Regin」が、政府や個人などに対するスパイ活動に使われているのを発見したと伝えた。

「Regin」マルウェアの活動プロセス（Symantecより）

　同社によると、Reginはバックドア機能を備えたトロイの木馬で、標的に応じて幅広くカスタマイズできる機能をもつ。「これほどのマルウェアを開発するには相当な時間やリソースを要するはずだ」と同社は分析し、「高度な機能やリソースのレベルから判断すると、国家によって使われている主要サイバースパイツールの1つであることがうかがわる」との見方を示す。

　攻撃は5段階で仕掛けられ、各段階に検出を免れるための高度なステルス機能や暗号化機能が実装されている。モジュール式のアプローチはマルウェア「Flamer」が使っていた手口で、多段階攻撃の手法は国家の関与が指摘された「Duqu」や「Stuxnet」に似ているという。

　Reginは少なくとも2008年ごろから、政府機関や通信などのインフラ運営会社、企業、研究者、個人などを狙った組織的なスパイ活動に使われてきたとSymantecは解説する。感染はロシア（28％）とサウジアラビア（24％）を筆頭に、中東や欧州など多数の国で見つかっている。まだ発見されていないコンポーネントが多数存在している可能性もあるという。

　一方、IT情報サイトのInterceptはこのマルウェアに関連して、米国と英国の情報機関が欧州連合（EU）やベルギーの通信企業に仕掛けた高度なサイバー攻撃に、Reginが使われた疑いがあると伝えた。

　同サイトによると、ベルギーでは通信会社Belgacomの社内コンピュータシステムやメールサーバからReginが見つかった。このマルウェアは正規のMicrosoftソフトウェアを装ってシステムからデータを盗む機能を持っていたという。さらに、米国家安全保障局（NSA）による監視活動の標的にされたEUのシステムからも同じマルウェアが見つかっていたという。