Stuxnet ── 国家が放った史上初の物理破壊型サイバー兵器

2010年6月、 ベラルーシのアンチウイルスベンダー VirusBlokAda の Sergey Ulasen は、 イランの顧客企業から、 PC が再起動を繰り返すという相談を受けた。 解析の末に彼が抽出したマルウェアは、 当時のセキュリティ業界の知見をすべて飛び越えた水準の代物だった ── 後に Stuxnet と命名されるこのコードは、 公開情報の範囲では、 国家が物理世界の破壊を目的に設計した最初のサイバー兵器である。

異常な技術スタック

Stuxnet が他のマルウェアと一線を画したのは、 投入された資源の桁が違ったことだ。

• 4つのゼロデイ脆弱性: 単独のマルウェアが同時期に複数のゼロデイを使うのは異例だった。 Stuxnet は LNK ショートカット（MS10-046 / CVE-2010-2568）、 印刷スプーラ（MS10-061 / CVE-2010-2729）、 Win32k.sys のキーボードレイアウト処理（MS10-073 / CVE-2010-2743）、 タスクスケジューラ（MS10-092 / CVE-2010-3338）の4つを動員した。 後ろの2つは特権昇格用で、 Symantec の解析によれば Windows XP / 2000 では Win32k.sys を、 Vista 以降では当時未公開だったタスクスケジューラの欠陥を使い分けていた。
• 侵害された正規署名: 台湾の Realtek Semiconductor と JMicron Technology のコード署名証明書を使い、 Windows ドライバを正規のものとして読み込ませた。 Verisign は Realtek の証明書を2010年7月16日に、 JMicron の証明書を7月22日に失効させている。 両社は同じ新竹サイエンスパーク内に拠点を持ち、 物理的な侵入による窃取が疑われたが、 入手経路は公表されていない。
• Siemens 産業制御システムへの深い理解: 標的は Siemens Step7 / WinCC で運用される S7-315-2 PLC（S7-300 系列）だった。 Stuxnet は、 その PLC の下に Fararo Paya（イラン・テヘラン）または Vacon（フィンランド）製の周波数変換ドライブが特定の構成でぶら下がっている場合にのみ起動する。 S7-417 を狙う第二の破壊ルーチンも見つかったが、 Symantec はこれを未完成で実行されないコードだと結論づけた。 いずれにせよ、 攻撃者は標的の物理構成を事前に正確に把握していた。

これらの組み合わせは、 民間犯罪組織や趣味のハッカー集団には作れない。 Stuxnet の存在自体が、 国家アクターの関与を技術的に証明していた。

ナタンズで何が起きたか

イランの ナタンズ・ウラン濃縮施設 には、 IR-1 と呼ばれる旧型遠心分離機が数千台、 カスケード接続で稼働していた。 ナタンズの制御系はインターネットに接続されていないため、 Stuxnet は感染した Windows マシンからリムーバブルドライブに乗り移り、 人の手で運ばれてエアギャップを越えたと考えられている。 Symantec は初期の感染がイラン国内の5組織から始まったことを突き止めており、 施設の関係業者を踏み台にした可能性が高い。

PLC に到達すると、 Stuxnet は2種類の攻撃を仕掛けた。

1. 周波数の操作: Symantec の解析によれば、 ワームはまず約13日間ただ観測し、 系が通常の 807〜1210 Hz で回っていることを確認する。 そのうえで駆動周波数を 1410 Hz へ引き上げ、 通常運転に戻す。 さらに約27日後、 今度は 2 Hz まで落としてから 1064 Hz に戻す。 以後この二つのシーケンスを約27日おきに交互に繰り返す。
2. 計器の偽装: 攻撃中、 PLC は SCADA 監視画面に対して正常時の記録済みテレメトリを送り返す。 オペレータの画面には異常が現れない。

破壊の実績は、 直接には確認されていない。 判断の根拠になっているのは ISIS（科学国際安全保障研究所）の2010年12月22日の暫定評価で、 IAEA 保障措置報告の数値から、 2009年末から2010年初頭にかけてナタンズの燃料濃縮プラントで約1,000台の IR-1 が廃棄・交換された と推定した。 IR-1 はもともと故障の多い機種だが、 この時期の破損数は想定を超えており、 Stuxnet の感染が原因でありうる ── ISIS の言い方はそこまでで、 断定はしていない。 同報告書は、 もし全遠心分離機の破壊が目的だったなら Stuxnet は失敗しているとも書いている。

帰属 ── Olympic Games

2012年6月、 New York Times の David Sanger が、 オバマ政権関係者への取材に基づき、 Stuxnet が米国 NSA とイスラエル軍 Unit 8200 の共同作戦「Olympic Games」（Bush 政権下で開始、 Obama 政権が継続・拡大）の一部であったと報じた。

この帰属は報道に基づくものであり、 米国政府もイスラエル政府も現在に至るまで公式に認めていない。 技術解析が示せるのは「国家規模の資源が投じられている」ところまでで、 どの国かはコードからは出てこない。 イラン側は、 2010年11月に Ahmadinejad 大統領が限られた台数の遠心分離機がソフトウェア攻撃の影響を受けたと記者団に述べ、 同月 Ali Akbar Salehi（当時のイラン原子力庁長官）が核関連施設にウイルスが到達していたと IRNA に認めている。 ただしイランも Stuxnet がナタンズを攻撃したとは認めていない。

Sanger の取材が伝える作戦の狙いは二つだった ── イランの核開発を物理的に遅らせること、 そして同時に、 イスラエルがイランを空爆する動機を下げること。 これも報道による記述であり、 公式の裏付けはない。

第5の戦域という再分類

Stuxnet 以前にも、 サイバー諜報（情報窃取）と分散型サービス拒否は国家行為としてあった。 しかし、 マルウェアが 物理インフラを物理的に破壊した 事例は、 公開された情報のなかでは Stuxnet が最初である。 これによりサイバー領域は、 諜報と妨害の領域から、 動的破壊（kinetic effect）を生み出す 第5の戦域 へと再分類された。

副次的な影響も大きい。 2011年に発見された Duqu（情報収集型）は Stuxnet と同じ開発基盤を共有しており、 2012年の Flame は初期 Stuxnet と共通のモジュールを持っていた ── いずれも同一系統の開発者の産物とみられている。 一方、 その後の産業制御マルウェア（ウクライナ送電網を止めた Industroyer、 安全計装システムを狙った Triton など）は Stuxnet のコードの派生ではなく、 手口の後継である。 攻撃者側だけでなく、 産業制御セキュリティ（OT セキュリティ）という分野そのものが、 Stuxnet 後に独立した工学領域として確立した。

「国家がコードで物を壊す時代」の起点として、 Stuxnet は今も参照され続けている。