米国のマイク・ポンペオ国務長官は、ソーラーウィンズへのハッキングの責任はロシアにあると主張したが、彼の上司は異論を唱えている。
ポンペオ長官は金曜日、トランプ氏支持の保守系ラジオトーク番組司会者マーク・レビン氏とインタビューを行い、その記録が国務省によって公開された。
インタビュー中、レビン氏はソーラーウィンズ事件について質問した。ポンペオ氏は「この活動に関与したのはロシア人であったと、今となってはほぼ明確に言えると思う」と答えた。
ドナルド・トランプ大統領は、自身が率いる国の多くの政府機関に敵国が侵入する可能性があるという点について、公式に発言した唯一の実質的なコメントとして、以下のツイートで反応した。
....中国の可能性について議論しています（可能性はある！）。選挙中に、あの馬鹿げた投票機に不正アクセスがあった可能性もある。今や私が大勝したことは明らかで、アメリカにとってさらに腐敗した恥辱となるだろう。@DNI_Ratcliffe @SecPompeo
— ドナルド・J・トランプ（@realDonaldTrump）2020年12月19日
AP通信によると、ホワイトハウスは金曜日の午後にロシアをこの事件の「主役」とする声明を発表する予定だったが、代わりにスタッフは待機するよう指示されたという。
本稿執筆時点では、国務省、国家安全保障局、ホワイトハウス、サイバーセキュリティ・インフラセキュリティ局、そしてトランプ大統領はいずれも、この事件に関する政権の相反する見解を調和させようとはしていないようだ。
ロシアはいかなる関与も否定している。
トランプ政権が事態の収拾に努める一方で、考慮すべき新たな問題が浮上した。マイクロソフトによると、2019年に別の攻撃者がSolarWindsを攻撃したとのことだ。つまり、先週攻撃が明るみに出る6か月前から、米国政府の標的は危機に瀕していた可能性があるということだ。
マイクロソフトは、2019年10月にSolarWindsが問題を抱えていたと発表しました。これは、同社が発掘したデジタル署名付きの.dllファイルに基づいているとのことです。レドモンドのアナリストは、「攻撃者は同社のソフトウェア開発または配布パイプラインにアクセスできた」と示唆しており、アクセスした上で「SolarWinds.Orion.Core.BusinessLayer.dll」という単一の.dllファイルを標的にしていたとしています。
「攻撃者は、このDLLコンポーネント内の適切な場所にコードを挿入する必要がありました」と、Microsoftの365 Defenderリサーチチームと脅威インテリジェンスセンター（MSTIC）のアナリストは述べています。「理想的には、定期的に呼び出されるメソッド内の場所を選択し、実行と永続性の両方を確保することで、悪意のあるコードが常に実行状態にあることを保証します。そのような適切な場所とは、RefreshInternalというメソッドであることが判明しました。 」
トランプ氏、メールハッキングの背後にはロシアではなく「400ポンドのハッカー」がいる可能性があると発言
続きを読む
「この関数に対する変更は非常に軽量なので、簡単に見落とされる可能性があります。並列スレッド内でOrionImprovementBusinessLayer.Initializeメソッドを実行するだけなので、 RefreshInternalの通常の実行フローは変更されません。
RefreshInternalが正当な業務の一環として行うジョブの一つに、CoreBusinessLayerPluginというクラスへのアクセスがあります。このクラスは、様々なコンポーネントを初期化し、複数のタスクの実行スケジュールを設定します。これらのタスクの一つに、悪意のあるコードを読み込むStartというメソッドの読み込みがあります。
コードが起動して実行されると、一連のテストが実行され、特定のセキュリティ ソフトウェアが存在しない環境にあり、特定の予想される IP アドレスと通信するように構成されていることが確認されます。
期待される条件が一つも満たされない場合、バックドアは「テストネットワークやSolarWinds所有のマシンなど、望ましくない環境に悪意のある機能が公開されるのを避けるため」に脱出します。条件が満たされない場合、バックドアは攻撃者にプロセスの実行、停止、列挙、ファイルやレジストリキーの読み取り、書き込み、列挙、デバイス情報の収集とアップロード、デバイスの再起動、待機、終了などの権限を与えます。
マイクロソフトは、2019年のハッキングにより、攻撃者は「権限昇格の探索、資格情報の盗難、高価値のアカウントや資産を探す横方向の移動という標準的な手法に従う」ことができると述べています。
サイバーセキュリティの天才ルディ・ジュリアーニがパスワードを忘れ、iPhoneを壊し、Apple Storeのスタッフに助けを求める
続きを読む
ご存知の通り、2020年のSolarWindsへの攻撃では、攻撃者が米国政府機関（国務省、財務省、国土安全保障省、商務省など）へのアクセスを取得し、18,000人の被害者が確認されています。そこには、価値の高い標的が数多く含まれています。
しかし、どのシステムが侵害を受けたかは不明であり、ポンペオ国務長官は、米国政府がハッキングの範囲を決して明らかにしない可能性を示唆した。
「まだそれが何なのか正確に解明していないので、これ以上多くは言えません。また、その一部は機密扱いのままになると思います」と彼はレビンとのインタビューで述べた。®
