ワイパー (マルウェア)

ワイパーは1990年代のインターネット黎明期から存在している比較的古い攻撃方法である^[2]。当時のコンピュータは今の様に貴重なデータが大量に保存されている場所ではなく、金銭的価値や政治的な価値もなかったため単純にデータを消去するという愉快犯的な行動理念によって行われていた^[2]。システム領域感染型ウイルスとも呼ばれ、ネットからの侵入の他に当時利用されていたフロッピーディスクを媒介とすることもあった^[4]。

インターネットが普及すると、金銭目的のランサムウェアや、情報窃盗目的のサイバースパイが多くなり、他のクライムウェアよりもワイパーによる攻撃は少ないと言えるが、しかし2020年代に入っても消滅しておらずワイパーによる攻撃は未だに行われている^[2]。欧州刑事警察機構（ユーロポール）やセキュリティ企業のカスペルスキーは、コンピュータの重要性が増すことによりさらに活性化すると予想している^[2][5]。ワイパー型マルウェアの攻撃の大半はイラン^[6]とロシアとされている。

攻撃方法

ワイパーは特定の間隔で特定の量のデータを書き込むことにより、ランダムにファイルを削除する。補助記憶装置は年々大容量化しており、すべてのファイルを上書きしようとすると時間がかかってしまうため、可能な限り迅速に破壊しようとする^[5]。またWindows回復コンソールやWindowsバックアップも攻撃し復元できないようにする。ファイルの破壊が完了すると、ファイルの作成日、場所、アクセス許可などの情報が保存されているマスター ファイル テーブル(MFT)を破壊し失われたデータを復旧できないようする^[5]。

マスターブートレコード(MBR)にはファイルシステムとディスクパーティションに関する情報が含まれており、損傷または変更されるとOSの起動も不可能になる。MBRの上書きやキーレス暗号化には数秒しかかからず、HDD内のファイルを上書き削除するよりも短時間で破壊できる^[5]。

1998年6月に台湾で発見された通称チェルノブイリ。毎年チェルノブイリ原子力発電所が爆発した4月26日に作動するように設計されており、感染すると無作為にハードディスクやFlashBIOSのデータを破壊する。当時は悪意のあるソフトウェアに厳密な分類はなく、単にコンピュータウイルスと呼ばれていた^[7][8]。

最初のワイパーともされる^[5]。亜種は大量に発見されているが2008年には製作されている^[2]。Delphiで記述されており、SQLデータベースを書き換えて内容を破壊する^[9]。情報などは盗み出さず破壊のみを行う。ゆっくりと活動し長期的な妨害工作のために設計されている点が他のワイパーとは異なる^[2]。ペルシャ語およびアラビア語圏のみを攻撃対象にしておりイランを狙ったと考えられている^[9]。

2012年、ワイパーがイランの石油会社に対する攻撃に使用され数千台のコンピューターが感染した。国際電気通信連合は、分析のためにセキュリティ企業のカスペルスキーに損傷したHDDの分析を依頼したが、痕跡はすべて消去されておりワイパーのサンプルは発見されなかった。だがカスペルスキーは別のマルウェアの痕跡を発見し、後にFlameと名付けた^[10][11][12]。別名Flamer、sKyWIper、Skywiperなど。

2012年にイランのコンピューター緊急対応チームが発見した。攻撃方法は単純で、指定期間のタイムスタンプを持つファイルをドライブDからIまですべて削除する^[2]。別名はMaher、Mayaなど。

2012年8月、サウジアラビアのエネルギー企業サウジアラムコを狙ったマルウェアに、ディスクを消去するメカニズムが含まれていた。これはハードディスク上のデータを直接変更できるRawDiskと呼ばれる市販のドライバーが利用されていた^[13][14]。ハッカーグループが犯行声明を出したが、出所はイランであるという指摘もある^[2]。Shamoonは自分の存在を完全に消し去ることができなかったため、ある程度調査が行われた^[2]。

2016年、Shamoon 2.0として中東で新たな攻撃を再開した^[15]。

2013年韓国へのサイバー攻撃と2014年ソニー・ピクチャーズへのハッキング事件の際に、北朝鮮のハッカー集団ラザルスグループが採用したマルウェアの一部にワイプコンポーネント(wiping component)が使用された^{[13][16][17][18]}。ネットワーク内のコンピュータを管理するために使われる集中管理ツールを使用し、MBRを上書きして起動不可能にする^[4]。別名はTrojan.Jokra^[19]、Mal/EncPk-ACE、Win-Trojan/Agent.24576.JPF^[20]などがある。

2017年にカスペルスキーによって発見された。当初は両者の構造と動作のスタイルがほぼ同じだったことからShamoonの亜種の一つかと思われたが、コードがまったく別物だったため新しいワイパーに分類された^[15]。Shamoonにはにはなかった点がいくつかあり、サウジアラビアや周辺国を標的に絞っていないことや、高度な検知回避技術などがある^[15]。

2017年、ロシアのハッカー集団サンドワームによるウクライナに対するサイバー攻撃で、Petyaの亜種であるNotPetyaが使用された。このマルウェアは、 NTFSファイルシステムの内部ファイルテーブルを暗号化するペイロードでMBRに感染する。オリジナルのPetyaは身代金を要求するランサムウェアでもあったが、NotPetyaはコードが大幅に書き換えられており、身代金を支払ったとしても戻すことはできずワイパーとして動作するように変更されていた^[21][22]。 別名はGoldenEye^[23]、ExPetr^[24]など。

2018年平昌オリンピックの開会式に使用するコンピュータに仕込まれデータが消去された。この妨害工作はサンドワームによって行われ、ロシアがドーピング違反でスポーツ大会から排除されたことへの報復とみられている^[25][26]。

2018年後半から2019年前半にかけて攻撃が増加した中東のエネルギーおよび産業部門を攻撃するワイパー。バイナリー・ファイルのプログラム・データベース(PDB)パス名からIBMによって「ZeroCleare」と名付けられた^[27]。Shamoonと同じくRawDiskを利用しMBRとディスクパーティションを上書きする。Windowsコントロールをバイパスするために、悪意のあるPowerShell / Batchスクリプトも使用する^[5]。IBMはイランを拠点としているHelix Kitten（英語版）(APT34)と、少なくとももう1つのグループが背後にいると分析している^[27]。

2019年12月29日、バーレーンの国営石油会社Bapcoを攻撃した。しかし一部のコンピュータでは正常に動作しなかったため、ワイパーの痕跡が残ってしまった。容疑者はイランのハッカーだったとされる^[5]。

FortiGuard Labsが2021年東京オリンピックを標的としたワイパーを発見した^[28]。これはdoc、pdf、xlsといった特定の拡張子のファイルを削除し、すべてのアクションが完了すると最後に自分自身を削除する。オリンピックを狙ったという点でOlympic Destroyerに似ているが、コード上の類似性は無いという。また洗練されていない事から、国家を後ろ盾とするハッカーではないとみられている^[28]。このワイパーはMicrosoft Visual C++で開発されUPXでパッキングされていた^[29]。

イランの鉄道機関に対する大規模な攻撃に使用された^[30]。「すべてのパスワードを変更する」「リカバリモードを無効化する」といったコードもあったがほとんど実行されなかった。セキュリティ研究者は「冗長なコードを用いており、コードの整理に失敗したことで、内部テストに使用される最初のデバッグ文字列を切り出さずにコンパイルしたようです」と指摘。使用したコンポーネントは初歩的なものから高度まであり、攻撃者の技術レベルは中級だと分析した^[31]。別名はMeteorExpress。

2021年10月にESETが活動を確認したワイパーで、物理ディスクと論理ボリュームを上書き削除する^[32]。2022年2月24日にウクライナへの攻撃にも使用された。バージョンアップされており、ログファイルも消去対象としている^[33]。

2022年1月13日、ウクライナ政府の複数の機関がハッキングを受けビットコインで1万ドルを支払うよう脅迫を受けた。しかしMBRが破壊されており再起動することも出来なかった^[34]。翌14日ウクライナ保安庁は「ロシアの秘密警察に関連するハッカーグループが事件に関与している兆候がいくつかあると言える」と声明を出した。マイクロソフトは、ランサムウェアのように見えるが身代金回収メカニズムがないことを理由に、破壊行為が目的だったと結論づけた^[35]。マイクロソフトは「既知のハッカー集団が関与している証拠はない」と慎重な姿勢を見せたが^[36]、セキュリティ企業Mandiantは、サンドワームが使用した破壊的なワイパーとの類似性があると言わざるをえないとしている^[34]。ウクライナ政府はロシア連邦軍参謀本部情報総局(GRU)との密接な連携が疑われる「Ghostwriter」と呼ばれるハッカー集団としたが、ウクライナ国家安全保障・国防会議の副書記はロシアのハッカー集団「コージーベア」と性質が似ていると述べた^[34]。

2022年ロシアのウクライナ侵攻が始まると、ハイブリッド戦争の様相を呈し同時にサイバー攻撃も行われた。セキュリティ企業のESETはウクライナでWindowsのMBRを破壊して起動不能にする新型マルウェアを発見した。キプロスのHermetica Digitalという会社名の有効なデジタルコード署名が付いていたため「HermeticWiper」と名付けられた。ファイルサイズはわずか114KBで、Windowsのデータ復旧ソフト「EaseUS」のパーティション管理ドライバーを悪用し、MBRを上書きしてコンピューターを起動不能にする^[37]。コンピュータ数百台にあらかじめ潜伏済みだったことから、おそらく数か月前から周到に準備されていたとみられている^[38]。シマンテックが名付けた別名はTrojan.Killdisk^[39]。