トロイは「1から開発」、明大生事件はCSRF脆弱性突く――なりすまし事件“犯行声明”全文公開

[ITmedia]

　悪意のある遠隔操作プログラム（トロイの木馬）で他人になりすまし、犯行予告を繰り返していた一連の事件で、犯人が送ったとされるメール全文を、送付先の1人である弁護士の落合洋司さんがこのほど、ブログで公開した。犯行に使われたトロイの木馬は犯人が1から開発したことや、警察を試す意図があったことなどが記されている。

　落合弁護士は、「事件に関する関心が高まっていることや、既に一部で（不完全なまま）公開されつつあることも考慮」し、公開を決めたという。個人名やURL、メールアドレスなど「支障があると考えられるもの」は伏せた上で公開している。

トロイの木馬は「自作」　明大生の事件はCSRF脆弱性狙う

落合弁護士のブログに掲載された犯行予告メール全文より

　メールのタイトルは「【遠隔操作事件】私が真犯人です」。本文では「■はじめに」「■私の目的」「■私が関与した事件一覧」など6つの見出しで、犯行の目的や手口などを詳細に説明している。

　冒頭で、「現在報道されている大阪・三重の遠隔操作ウィルス事件について、私が犯人です」と宣言。目的は「警察・検察を嵌めてやりたかった、醜態を晒させたかった」と説明し、送付先に落合弁護士を選んだ理由は「明るみにしてくれそうな人なら誰でも良かった」としている。

　一連の事件で利用したトロイの木馬は、「既成の亜種ではなく、私が一から開発したもの」で、実行ファイル名は「iesys.exe」。「したらば掲示板」を通じて命令受信や結果出力を行うほか、キーロガー機能も備え、キー入力したデータをしたらばに書き込んだり、画面キャプチャなどを任意のURLに送信する機能も備えているという。

　関与した事件一覧は時系列に書かれており、最初に紹介しているのは6月29日、横浜市のWebサイトに小学校の無差別殺人予告を書き込み、明治大学学生が逮捕された事件。同サイトのCSRF脆弱性を突いたもので、トロイの木馬は利用しておらず、「明大生は、掲示板に貼ったURLをたまたま踏んだだけ」という。さらに「逮捕報道の2日後ぐらいに、全く同じ手口（CSRF）で横浜市サイトに告白文を送った」という。

トロイの画面キャプチャ機能で感染PC観察　氏名や住んでいる場所特定

　自作のトロイの木馬で最初のターゲットとなったのは、アニメ演出家の北村真咲さん。北村さんのPCをトロイの木馬に感染させた後「画面キャプチャ機能である程度観察した」結果、Gmail画面からユーザー名を知り、大阪に住んでいることがわかったため、日本橋の「オタロード」を対象に選び、大阪市サイトから犯行予告文を送信するよう、7月29日に指令を送ったという。その後2件の予告・脅迫文を送った後、自己削除コマンド「suica」を送り、PCからトロイを消去したという。

　8月9日には企業の社内PCを感染させ、2ちゃんねるに殺人予告を書き込んだが、「どちらもニュースになっていない」という。この時からトロイにPC内のファイル送信機能を付け、同機能を使って社内ファイルを見たとしており、感染PCのマイドキュメントのフォルダ一覧をキャプチャした画像のURLを、メールに添付している。

　8月27日には、トロイに感染したPCを操作してメールアカウントを作成し、お茶の水女子大学附属幼稚園や子役タレントの所属会社などにあてて脅迫や殺人予告メールを送信。感染PCのマイドキュメントにメールアカウントのログインID、パスワードと犯行予告本文の一部が書かれたテキストファイルをあえて残し、警察が発見した際、PCのオーナーを犯人と誤認するよう誘導したという。PCのオーナーが逮捕され、容疑を認めているという報道を受け、「かわいそうだから早く助けてあげてください」と記している。

PCにトロイを残し、警察を試す

　9月10日には2ちゃんねるに、伊勢神宮と任天堂の爆破予告をそれぞれ記載。前者は、感染PCオーナーが三重県在住だと分かったため、伊勢神宮をターゲットにしたという。この時はあえてトロイを消さずに残し、「仕掛けたトロイを警察が見つけてくれるか、見つけられないか、見つけたなら誤認逮捕を認めて彼らを釈放するのか、見つけたけれど無かったことにして黙殺し彼らを犯人扱いのままか、・・・そんなふうに警察がどう出るか試す意図がありました」としている。逮捕された2人は釈放され「警察・検察にしては殊勝なほうだと思いました」。

　最後の「■警察・検察の方へ」の段では、「あそんでくれてありがとう。今回はこのぐらいにしておくけれど、またいつかあそびましょうねーーー」と挑発。「北村氏らに、犯人が「巻き込んですみませんでした」と言っていたと伝えてください」と記している。