Regin：高度な持続型セキュリティ脅威における新たな洗練

11月末、3つの主要なアンチウイルスベンダーが、これまでに発見された中で最も洗練されたウイルスだと彼らが考えるものについての詳細を公開しました。しかし、Reginをウイルスと呼ぶのは、その能力をやや過小評価しています。その洗練度の高さゆえ、研究者たちが、恐らく1つ以上の国家の後ろ盾を受けて、さまざまな手法によってインテリジェンスを収集できるようにする「侵害（コンプロマイズ）プラットフォーム」と呼ぶほうがより適切でしょう。

Reginの被害者は、ある国々において政府機関、研究機関、金融機関、携帯電話サービス事業者、学術機関に限られているように見えるものの、その情報収集における複雑さと熟練度、そして長期間にわたり検知されずに潜み続ける能力は、私たち全員の関心を引くべきです。

Regin を手順ごとに

インストール手順には5つの段階があり、最初は Windows のサービスまたはドライバーから始まります。その後、追加のコードがインストールされ、NTFS 拡張属性（NTFS Extended Attributes）内に巧妙に隠して暗号化されるか、FAT/FAT32 ボリュームを使用するデバイスではレジストリに書き込まれます。あるいは 64ビット システムでは、最後のディスク パーティションの末尾に配置されます。

32ビット版には3つ目の段階があり、ドライバーを使って仮想ファイルシステム（VFSes）を作成します。この中ではファイルを暗号化して、Regin の活動を隠します。64ビットには3つ目の段階はなく、代わりに4つ目の段階のディスパッチャーモジュールが直接読み込まれます。ユーザーモードのディスパッチャー DLL が Regin の中核を形成し、VFS との連携、プラグインの実行、暗号化およびネットワーク機能のための基盤を提供します。

最終段階は、データを収集するために使用される一連のプラグインです。膨大な一覧のうち、例として以下が含まれます：

• HTTP/SMTP/SMB 認証情報スニファー
• キーロガーおよびクリップボードスニファー
• ユーザーのログオンとなりすまし
• ユーザー名およびドメイン名スニファー
• ネットワーク共有の列挙と操作
• Windows イベントログのリーダー
• NDIS フィルター
• コードインジェクションとフッキング
• Microsoft Exchange Server のデータ抽出

検出を回避するため、Regin の被害者と攻撃者の間でネットワーク トラフィックが暗号化されます。さらに、侵害されたネットワーク上にピアツーピア（P2P）ネットワークを構築し、攻撃者に送り返す必要があるデータ量を制限することで、再び検出を逃れるのに役立ちます。

偽の証明書

64ビット システムの最初の段階に必要なモジュールは、偽の証明書で署名されており、Microsoft や Broadcom から提供されたように見せることで本物に見えるようにしています。各デバイスの証明書チェーンに認証局（CA）を挿入することで、Regin のファイルはローカル システムにより信頼されます。

これは重要です。CA 証明書を追加することは検出可能な変更である一方で、Regin の他の多くの活動は見つけ出すのが難しいためです。さらに、Windows レジストリやファイル システムへの変更とは異なり、証明書ストアの変更は通常まれであるため、監査が容易になります。

予防策

初期の侵入手法は不明ですが、Regin は管理用共有（administrative shares）を使ってネットワーク内を移動し、Active Directory ドメイン のコントローラー上で見つかりました。これは、管理者権限を持つ従業員が、Web またはメールベースのエクスプロイトによって、知らないうちに標的にされていた可能性が高いことを示唆しています。

では、Regin のような脅威があなたのネットワーク セキュリティに感染するのを防ぐには、どうすればよいのでしょうか？

1. 64ビット Windows を導入し、ユーザーから管理者権限を削除します
2. Just Enough Administration (JEA) を使用する
3. アプリケーションのホワイトリストを導入する
4. サーバーおよびエンドユーザー端末で重要なシステム構成を監査する
5. アンチウイルスとファイアウォールだけに頼らない