Security Response

以前のブログでは、W32.Stuxnet が用いるインストールの制御フローについて説明しました。今回のブログでは、この脅威がどれほど複雑なのかをもう少し詳しく紹介し、特にこの脅威が利用するさまざまなファイルと各ファイルの目的、ファイルごとの署名の有無について説明します。

Stuxnet のメインのペイロードは UPX 圧縮された .dll ファイルであり、感染したリムーバブルドライブに存在するファイルの 1 つに、エンコードされた形で格納されています。UPX 圧縮されたこの .dll ファイルをデコードして圧縮解除すると、その中には以下のように多くのファイルが含まれていることがわかります。

UPX 圧縮された .dll ファイルには 13 種類のリソースがあり、それらのリソースファイルの種類もさまざまです。この中には、実行可能ファイルやデータファイル、エンコードされているファイルやエンコードされていないファイルもあります。

13 個のリソースのうち、8 個はエンコードされた実行可能ファイルです。これ以外にも、別の実行可能ファイルを含むエンコードされたキャビネットファイルが 1 個、エンコードされていない実行可能ファイルが 1 個、リムーバブルドライブ上に .lnk ファイルを作成するためのテンプレートとなる .lnk ファイルが 1 個あり、残り 2 つのリソースはデータファイルで構成されています。

各ファイルは、以下のカテゴリに分けられます。

• 2 つの .sys ファイル。カーネルモードのルートキット機能に使われます（実際に、リソースには 1 つの .sys...

以前のブログでお伝えしたように、W32.Stuxnet には複雑なネスト構造のファイルとコンポーネントが含まれています。シマンテックでは、流行が確認されている各種のサンプルが亜種なのか、それとも同じコンポーネントを組み込んでラッパーを変更しただけなのか、それを判定することが有意義であると考えました。W32.Stuxnet に亜種が存在するかどうかを確認するために、各サンプルを解析し、それを構成しているペイロードを調べました。その解析の結果を以下に示します。

調査したサンプルから（今のところ、対象はサンプル全体の一部だけです）、インストーラコンポーネントには以下の表のとおり 4 種類のファイルサイズがあることが確認されました。ご覧のように、4 種類のインストーラがあると言っても、最初の 3 つはジャンクまたはヌルが追加されているだけで実質的には同じです。ただ、4 つ目は他の 3 種類と大きく異なっています。

<タイプ 1 ～3 は同一で、タイプ 4 のみが異なる>

このことは、インストーラからペイロードの .dll ファイルを抽出して比較してみれば検証できます。以下の表でわかるように、タイプ 1 から 3 に含まれるペイロード .dll ファイルはサイズが同じであり、事実上同一のものです。タイプ 4 は他のペイロードより 100KB ほど大きくなっています。

<タイプ 4 のインストーラに含まれるペイロードのみ異なる...

Code to exploit the zero-day .lnk file vulnerability (BID 43073) used by Stuxnet was added to the threat around March 2010; we know this because the samples we observed before this date did not contain code to exploit that vulnerability. This leads us to the following question: how did previous Stuxnet variants spread through removable devices?

Stuxnet に関しては現在もなお解析中で、ブログではまだ掲載していませんでしたが、今年初めに発見されて以来、Stuxnet の脅威については継続して解析を進めています。初期段階の調査では、脅威を制御する方法としてコマンド & コントロールのインフラストラクチャが指摘されました。この制御メカニズムが発見されてから、使用されるコマンド & コントロールサーバーはすぐにオフラインになりました。

その後の調査によると、この脅威はコマンド & コントロールのインフラストラクチャを介して制御されるだけでなく、ピアツーピア（P2P）コンポーネントを介して自身を更新する機能も備えていることが判明しました。

感染したコンピュータは、相互にアクセスして、どのコンピュータにこの脅威の最新バージョンがインストールされているかを調べます。最新バージョンがインストールされているコンピュータは、その最新バージョンを他のコンピュータに転送します。これにより、ワームは中央のコマンド & コントロールサーバーと通信することなく、自身を更新することができます。P2P ネットワークが頻繁に利用されている理由も、障害の中心点がないためダウンしにくいという、まさにその点にあります。Stuxnet の作成者は、コマンド & コントロールサーバーの制御が失われる可能性を考慮し、それに備えて P2P による更新機能を組み込んだのでしょう。

この P2P コンポーネントは、RPC サーバーとクライアントをインストールすることによって動作します。この脅威がコンピュータに感染すると、RPC サーバーが起動されて接続に対する応答が準備されます。ネットワーク上の他のコンピュータが感染すると、RPC サーバーに接続し、リモートコンピュータにインストールされている脅威のバージョンを確認します。

リモートバージョンのほうが新しい場合、ローカルコンピュータはその新しいバージョンを要求し、それで自身を更新します。逆にリモートバージョンのほうが古い場合、ローカルコンピュータは自身のコピーを作成してリモートコンピュータに送信し、リモート側を更新できるようにします。このようにして、...