【ITニュース解説】China-Linked PlugX and Bookworm Malware Attacks Target Asian Telecom and ASEAN Networks

今回のニュースは、アジア地域を中心に、特定の産業を狙ったサイバー攻撃が現在も続いていることを報じるものだ。攻撃者は、すでに知られている「PlugX」というマルウェアの新しいバージョンを使い、通信や製造といった重要な分野を標的にしている。この種の攻撃は、単なる迷惑行為にとどまらず、社会インフラや経済活動に深刻な影響を与える可能性があるため、システムエンジニアを目指す皆さんも、その内容を正確に理解しておくことが非常に重要だ。

まず、攻撃のターゲットについて説明しよう。ニュースでは、中央アジアや南アジアの国々における通信業と製造業が狙われているとある。なぜこれらの産業が標的になるのか。通信業は、インターネットや電話といった私たちの社会生活の基盤を支える重要なインフラだ。ここが攻撃されれば、通信網が麻痺したり、大量の情報が盗まれたりする恐れがある。また、製造業は、製品開発に関する企業秘密や生産プロセスに関する情報など、企業にとって価値の高い情報が豊富にあるため、経済的なスパイ活動の格好の標的となる。このように、社会的に重要性が高く、かつ価値のある情報を多く持つ産業が狙われる傾向にあることを理解しておこう。

次に、攻撃に使われている「PlugX」というマルウェアについて詳しく見ていこう。マルウェアとは、「Malicious Software（悪意のあるソフトウェア）」を略した言葉で、コンピューターに不正な動作をさせるプログラム全般を指す。PlugXは、特に「バックドア型」と呼ばれる種類のマルウェアだ。バックドアとは、文字通り「裏口」を意味し、攻撃者が一度コンピューターに侵入した後、正規の認証プロセスを経ずに、いつでも自由にそのコンピューターにアクセスできる状態を作り出す機能を持つ。PlugXがコンピューターに侵入すると、攻撃者は以下のような様々な悪質な操作が可能になる。

• 情報の窃取: コンピューター内の機密文書、個人情報、パスワード、技術情報などを探し出して外部に送信する。
• リモート操作: 被害者のコンピューターを遠隔地から操作し、あたかもその場にいるかのようにファイルを実行したり、設定を変更したりする。
• 追加マルウェアのダウンロード: さらに別のマルウェアを送り込み、より広範囲な攻撃を展開する。
• システムの破壊・改ざん: 重要なファイルを削除したり、システム設定を破壊したりして、コンピューターを使えなくする。

このようにPlugXは、侵入したコンピューターを攻撃者の支配下に置き、あらゆる悪意のある行為を可能にする非常に危険なツールだ。ニュースでは「Korplug」や「SOGU」とも呼ばれているが、これらは同じマルウェアを指す別の名称と考えてよい。

さらに今回の攻撃では、PlugXの「新しい亜種」が使われていると報じられている。亜種とは、既存のマルウェアを少し改良したり、機能を追加したりして作られた新しいバージョンのことだ。マルウェアの作者は、セキュリティ対策ソフトによる検出を逃れるため、あるいは新たな機能を追加するために、頻繁に亜種を作成する。そのため、以前のPlugXに対する対策が施されていても、この新しい亜種には通用しない可能性があるため、より警戒が必要となる。この攻撃が「継続的なキャンペーン」と表現されているのは、一時的なものではなく、組織的な攻撃グループによって計画的に、そして長期にわたって行われていることを示している。

この新しいPlugXの亜種が使う主な手口の一つが、「DLLサイドローディング」というものだ。これは、比較的複雑な技術なので、初心者向けに簡単に説明する。コンピューターのプログラムは、しばしば「DLLファイル」と呼ばれる、共通の機能を持つ部品を組み合わせて動作する。例えば、あるプログラムが画像を表示する機能を使う場合、画像を処理するDLLファイルを呼び出す、といった具合だ。DLLサイドローディングは、この仕組みを悪用する手法だ。攻撃者は、正規のアプリケーションが特定のDLLファイルを読み込む際に、本来読み込むべきではない、攻撃者が用意した偽のDLLファイルを読み込ませるように仕向ける。この偽のDLLファイルには、マルウェアの本体や、マルウェアを起動させるためのコードが仕込まれている。正規のアプリケーションのフリをしてシステムに侵入するため、セキュリティソフトによる検出をすり抜けやすいという特徴がある。ニュースでは、RainyDayやTurianといった別のバックドア型マルウェアも同じような手口を使っていたとあり、攻撃者が過去の成功事例を再利用している可能性を示唆している。

そして、「China-Linked」とあるように、今回の攻撃は中国に関連する集団によるものと見られている。特定の国や政府と関連するサイバー攻撃グループは、国家レベルの支援を受けていることが多く、その攻撃能力や持続性が非常に高い傾向にある。彼らは、諜報活動や経済的優位性の確保、あるいは政治的な目的のためにサイバー攻撃を行うことが多く、その活動は非常に組織的で高度だ。

システムエンジニアを目指す皆さんにとって、このニュースから学ぶべきことは多い。まず、マルウェアの種類や攻撃の手口が常に進化しているという現実を理解すること。そして、それらからシステムを守るためのセキュリティ対策の重要性を認識することだ。具体的な対策としては、常にOSやアプリケーションを最新の状態に保つこと、信頼できるセキュリティソフトを導入すること、不審なメールや添付ファイルを開かないこと、そしてアクセス権限を最小限に抑えることなどが挙げられる。将来的にシステムを設計・構築・運用する立場になった際には、今回のニュースで取り上げたような攻撃手法を念頭に置き、いかに堅牢なセキュリティを確保できるかを常に考える必要がある。また、万が一攻撃を受けてしまった場合に備えて、どのような対応をすべきか、バックアップ体制はどうなっているかといったインシデントレスポンスの計画も非常に重要になる。サイバーセキュリティは、システムエンジニアにとって避けては通れない分野であり、常に最新の脅威について学び続ける姿勢が求められる。