Symantecのサイバーセキュリティ研究者たちが、これまで存在を知られていなかったハッカーグループを発見した。「Strider」と呼ばれるこのハッカーグループは、国家の諜報機関の関心を引きそうな組織や個人にマルウェアを感染させる。
Striderの「Remsec」マルウェアは主にロシアの組織や個人を標的にしているようだが、中国の航空会社や在ベルギーの大使館、スウェーデンのある組織のシステムもターゲットにしている。このマルウェアの主要な目的は標的を監視することだ。ひとたびシステムに感染すると、Remsecはバックドアを設置し、それを通してキー入力の記録やファイルの窃盗を行う。
極めて明確に標的を定めるこのマルウェア（5年間の感染件数はわずか36件）は2011年10月から使用されており、ステルス性を向上させる複数の機能を通して、ほぼすべてのアンチウイルスシステムによる検知を5年近く逃れてきたと考えられている。
Remsecを構成するコンポーネントのいくつかは、「Binary Large Object」（BLOB）の形式で構築され、セキュリティソフトウェアによる検知が困難だ。さらに、同マルウェアの機能はネットワーク上に配置されるので、Remsecはディスクに保存されない。これも同マルウェアの検知を難しくしている要因だ。
Remsecモジュールの多くは、プログラミング言語の「Lua」で記述されている。Luaは組み込みが容易なスクリプト言語で、さまざまな機能やプロセスの実行に使用することが可能だ。今回のケースでは、キー入力の記録に使われている。「ロード・オブ・ザ・リング」に登場する、 悪の親玉サウロンへの言及も、このコードに含まれている。
「ロード・オブ・ザ・リング」に登場する、サウロンへの言及も、このコードに含まれている。 提供：Symantec
Luaモジュールが使われていることから、Striderは「Flamer」ハッキンググループとつながりがあるのではないか、と研究者たちは考えている。Flamerも自らのマルウェアで似たような技術を使っている。Striderは、悪名高い「Regin」マルウェアともつながりがあるかもしれない。Remsecのある被害者は過去にReginに感染したことがあるからだ。
Remsecが非常に高度なマルウェアであることから、Striderは極めて優れた技術を持つマルウェア開発者の集団であり、「国家の支援を受けた攻撃者」の可能性もある、とサイバーセキュリティ研究者はみている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
