1年以上も検出できなかった「史上最大級の高度な攻撃」、同じ弱点は世界中に：この頃、セキュリティ界隈で（2/2 ページ）

[鈴木聖子，ITmedia]

　バックドアを仕込んだSunburstのコードは6月にSolarWinds製品から消去されていた。これは攻撃者が十分な数の標的に到達し、バックドアを仕込む段階から、選定した被害者に対して攻撃を仕掛ける段階にシフトしたことを物語るとMicrosoftは分析する。

　攻撃に使われたマルウェアは、SolarWindsやWindowsの正規のサービスやフォルダに似せた名称でファイルを作成してカムフラージュする手口を使っていた。正規のプロセスが動作するタイミングに合わせてマルウェアを実行させ、痕跡を隠すためにレジストリキーを消去したり、イベントログを一時的に停止させたりするなど、あらゆる手口で検出を免れていたことも分かった。

　12月に発見される発端となったのは大手セキュリティ企業FireEyeに対する不正アクセスの発覚だった。SolarWinds経由で被害に遭った組織はこれまでに判明しただけでも米司法省や財務省、エネルギー省、商務省、国家安全保障省など広範に及ぶ。Microsoftも社内で不正なSolarWindsのコードが見つかり、ソースコードの一部を見られていたことを確認した。

　これほど高度な攻撃をどこが仕掛けたのかは現時点では不明だが、米国土安全保障省のサイバーセキュリティ機関CISAは1月5日の声明で、ロシアが関与した可能性に言及した。根拠は明らかにしていない。

米国土安全保障省のサイバーセキュリティ機関CISAによる声明

　ただ、こうした攻撃に対する調査や対策を主導するはずのCISAでは、2020年11月にトップが辞任するなどトランプ政権下で混乱が続いていた。今後の対応はバイデン新政権下で態勢を立て直せるかどうかにかかる。

　誰も気付かないうちに進行する今回のようなサプライチェーン攻撃は、自分たちがいつ被害者あるいは加害者になってもおかしくない。「同様のプロセスは世界中で他社のソフトウェア開発環境にも存在している可能性がある。今後同様の攻撃に対してもっと効果的に対抗するためには、全業界的なアプローチと、官民の連携が必要とされる」。SolarWindsはそう警鐘を鳴らしている。