遠隔操作ウイルス事件でframeやＤｕｑｕが使用された可能性。

2013/01/11(Fri) 19:53

昨年（２０１２年）７月から９月にかけて自治体や公人、掲示板に大量殺人予告が相次いで届き、四人が逮捕された。１０月に報道関係者や弁護士に真犯人からメールが届き誤認逮捕が発覚。四人のうち二人が既に自白させられていた。遠隔操作ウイルス事件である。

遠隔操作ウイルス事件 - Wikipedia




今年元旦に、真犯人から『謹賀新年』メールが報道機関や関係者に届けられた。内容は、『先着一名様限定で事件の種明かしをする』といったものでパズルが添付（リンク）されていた。５問解くと二枚の画像ファイルと一つのテキストファイルにたどり着き、『お疲れ様でした』と犯人からねぎらいの言葉が掛けられた。二枚の画像ファイルには位置情報が残されていて、指し示す場所は『雲取山』であった。雲取山は東京都、埼玉県、山梨県をまたがる２０１７メートルの山で、捜索が行われたが、何も発見できなかったという。

遠隔操作ウイルス作者からと思われる問題にチャレンジしてみた。 — (n)
http://n.pentest.jp/?p=24997

真犯人はお気に召さなかったようで、『新春パズル　~延長線~』というタイトルのメールを２５の報道機関や関係者、弁護士に送りつけた。パズルを解くと江ノ島の地域猫に辿り着き、人馴れした地域猫の首輪にはマイクロＳＤが括りつけられていた。



江ノ島は車道が一本、歩道が一本で結ばれた人口４００人の小さな島である。地域猫の住処である植物園は駐在所を通って歩道で向かわなければならず、江ノ島内には防犯カメラが３５台設置されていた。真犯人は大胆不敵にも犯人が特定されやすい状況の中、地域猫に接写し、マイクロＳＤを仕込んだ首輪を取り付けたわけだが、その大胆さこそが捕まらない自信の裏返しに思えてならない。

マイクロＳＤには「自分は以前、事件に巻き込まれたせいで人生を大幅に軌道修正させられた。メールは解約したのでこれ以上何も発信しない」という真犯人の収束宣言ともとれるメッセージが残されていた。

アニメやゲームに詳しいコンピューターに精通した２０代から４０代の男が犯人だと見られているが本当にそうだろうか。

捕まらないことに絶対的な自信があるからこそ、大胆不敵な行動にも打って出られるのではないか。だとしたら個人の犯行ではなく、組織的な犯行であることをまず考えなければならない。

遠隔操作ウイルス事件のあらましはなりすまし（遠隔操作）ウイルスによる犯行予告事件をまとめてみた。 - piyologにかなり詳しく書かれているし魚拓もあるのでそちらを参考にしていただきたい。



真犯人が犯行声明を出した１３件の大量殺人予告はどれも未遂のままで、当然死者も怪我人も出ていない。単なる嫌がらせ、あるいは愉快犯の犯行であり凶悪事件でもなんでもないのだが、四人の誤認逮捕者を出す事態に発展するに至った。警察は真犯人に３００万円の懸賞金をかけた。今も捜査は続けられている。



遠隔操作ウイルス事件が世間を騒がす2ヶ月前、２つのコンピューターウイルスが発見された。frameとＤｕｑｕである。両者はスーパーサイバーウエポンと呼ばれるスタクスネットと同じソースコードであることがわかった。スタクスネットと開発母体が一緒だということは米猶の合作だということである。

Stuxnet類似のウイルス「DuQu」が見つかる、各社が警戒を呼びかけ -INTERNET Watch
http://internet.watch.impress.co.jp/docs/news/20111019_484877.html

スタクスネットがインフラ破壊兵器であるのに対し、frameとＤｕｑｕは諜報的に開発されたコンピューターウィルスであるようだ。攻撃の対象が個人であり、ウイルスに感染させた監視対象から情報収集するために特化していることが以下の記事でわかる。

ウイルス「フレーム」サイバー戦争の表と裏
http://www.tanakanews.com/120608cyberwar.htm

　５月２９日、ロシアの世界的なインターネットセキュリティ企業であるカスペルスキー研究所が、電力や交通など国家のインフラシステムにとりつく新種のネットウイルス「フレーム」（Flame）を見つけたと発表した。フレームに感染しているマシンは、世界で千台から５千台と概算され、そのすべてが中東にあり、ほとんどはイランのコンピューターであるという。 （Cyber 'superweapon' virus uncovered: Russian firm）

　イランの政府系システム、特に原発や核開発のコンピューターシステムには、２００８年以降「スタックスネット」（Stuxnet）と「ドゥク」（Duqu）というウイルスに攻撃されている。今回のフレームも、これらと同じ０８年ごろに作られている。３種類のウイルスは、すべて同じプラットフォームを使ってプログラムされているため、同じ組織によって作られたと考えられている。フレームは大きさが２０メガバイトもあり、１メガバイトのスタックスネットよりずっと大きいが、ウイルスとして非常識な巨大さであるだけに、逆に４３種類のウイルス感知プログラムをすり抜け、発見が遅れた。 （Flame virus had massive impact on Iran, says Israeli security firm）

　イランを攻撃した３種類のウイルスのうち、スタックスネットがシステムの破壊を主な任務にしているのに対し、フレームとドゥクは、入り込んだシステム内のＰＤＦやＭＳオフィスの文書を盗み出したり、システム管理者がキーボードで何を打ち込んだか（打鍵歴）、モニターに何を表示したかを記録し、その情報を欧州などにあらかじめ設置したコンピューターに送ることを任務にしている。 （Flame: Attackers 'sought confidential Iran data'）

　スタックスネットとドゥクは、米国とイスラエルの当局がプログラムを作り、イランが核兵器を開発している証拠を得るために、イランの核開発用システム内のＰＤＦやオフィスのファイルを盗み出したり、システムを破壊して核開発を遅らせようとしたとされている。今回のフレームも、カスペルスキーが存在を発表した直後から、米イスラエルの仕業だろうと報じられている。 （Israel fans a virtual Flame against Iran）

　ニューヨークタイムズによると、ドゥクが盗み出した情報を送信する時間帯は、エルサレムの業務時間帯と一致する。ドゥクの情報送信は、金曜日の夕方から土曜日の夕方まで止まり、ユダヤ教の安息日の時間帯と一致するという。このくだりはニュース記事というより、ユダヤ人諜報関係者の一流のジョークだ。ＮＹタイムズもなかなかやるなと思ってしまった。 （Researchers Find Clues in Malware）

---------------------抜粋

フレームとＤｕｑｕはキーロガーや画面キャプチャ機能を実装した監視ウイルスである。他方で、遠隔操作ウイルス事件で使用されたウイルスはどうだろうか。興味深いのは、キーロガーや画面キャプチャ機能を実装していると真犯人がメールで明かしていることである。

2012-10-21 - 弁護士 落合洋司 （東京弁護士会） の 「日々是好日」
http://d.hatena.ne.jp/yjochi/20121021

■トロイ（ウィルス）について

既成の亜種ではなく、私が一から開発したものです。

まだ公表されていませんが、「iesys.exe」が実行ファイル名です。

「したらば掲示板」を通じて命令受信や結果出力処理を行います。

報道のとおりキーロガー機能もついていて、キー入力収集データもしたらばに書き込みます。

画面キャプチャやPC内のファイルを任意のURLにPOST送信する機能もあります。

---------------------抜粋

遠隔操作ウイルス事件と、米猶が軍事的に共同開発したフレームとＤｕｑｕが同じ機能を実装しているのは偶然だろうか。偶然でないのならば、何を示しているのだろうか。

そもそも、この事件ではｔｏｒが使用されている。ｔｏｒはＰ２Ｐを利用した匿名化ソフトでメールや書き込みのヘッダーやＩＰアドレスから追跡不能にするもので、米軍が軍事目的に開発したソフトである。真犯人の用心深さが垣間見れる。

警察をあざ笑いたいがために他人になりすまし、掲示板や自治体のサイトに大量殺人予告を書き込んだり、メールを送りつけた一連の事件は、一個人による犯行ではなく、軍事的なサイバー攻撃、あるいは実験ではないか。だとしたら、犯人は絶対に捕まることはないだろう。