ケネス・ギアス氏のデフ・コンでの「ロシア・ウクライナ戦争におけるコンピュータ・ハック」という原稿が公開されているので、分析してみたいと思います。同論文は、2022年のロシアのウクライナ侵略における公的になっているコンピュータネットワーク作戦(CNO- computer network operations)について調査したものです。
同論文の構成は
- 序
- 親ロシア・ハック
- 親ウクライナ・ハック
- (戦時)評価
となっています。2022年のサイバーセキュリティを語るときには、これが、もっとも重要な出来事として記録・記憶されることでしょうから、この原稿は、きわめて重要なものであろうと思います。個人的にも、いろいろいなニュース記事は見るのですが、サイバー作戦という観点からまとめているものは多くはないので、非常に参考になります。
なお、私のロシアのウクライナ侵略に関するブログとしては、
- ジェノサイドの罪の防止及び処罰に関する条約に基づくジェノサイドの疑惑（ウクライナ対ロシア連邦）の判決(全文訳)
- 米国の適格中立性の概念-ロシアのウクライナ侵略行為に対する「中立性」の問題-戦時の法の概観とともに
- ロシアのウクライナ侵略における宇宙の武力紛争法の論点
- NHK BS デジタルウクライナ-中立法と宇宙関係の民間会社
などがあります。
なお、このギアス氏の論考は、タイトルのとおり、コンピュータハック(すなわち、無権限アクセス・サボタージュ等)の観点にフォーカスしています。逆に、影響工作といわれる部分については触れていません。
大雑把に図にするとこのような感じです。
ということで中身をみていきます。
1 序
戦時において情報作戦が勝利への鍵であること、平和時においてもたくさんのコンピュータネットワーク作戦が実行されていること、ギアス氏自体2015年にキーフの大学のビジティングプロフェッサーであったこと、が記載されています。
そこで、中としてリンクされているのが、米国の「サイバースペース作戦」という統合参謀本部(Joint Chiefs of Staff)のドクトリンです。これは、統合参謀本部議長（CJCS）の指示の下に作成されたものであって合同作戦における米軍の活動や実績を規定する合同ドクトリンであり、政府・非政府機関、多国籍軍、およびその他の組織間パートナーとの軍事交流に関する考察を提供するものであるとされています。
2 親ロシア・ハック
2 親ロシア・ハックは、さらに、A 戦場の準備、B 攻撃開始時刻(H-Hour)、C 親ロシア・ハック 進化に分けて論じられています。ここに見ていきます。
2.1 戦場の準備
- 2022年2月24日 ロシアは、ウクライナ侵略を開始したが、ロシアの政府のハッカーは、すくなくても1年間は、準備をしており、戦略的インテリジェンスを収集し、破壊的なマルウエアを仕掛けてきた。
- 2022年、ロシアの軍隊がウクライナを取り囲んで、ロシアのCNOは威嚇と破壊にシフトした。ウクライナ政府のウェブサイトの「改ざん」、 1月中旬のWhisperGateの発見、ロシアの国家的ハッカーは、ウクライナと米国の天然資源も標的にし始めたこと、 2月中旬米国の液化天然ガス（LNG）企業21社へのアクセス(戦争によって、世界的にLNGの需要が急増し、特に米国からのLNGの需要が急増することを見越していた)、があった。
その後、侵略の10日前になって、ロシアのCNOは、再び、DDos攻撃にシフトした。攻撃者の特定は、なかなかなされなかったが、2月18日には、ホワイトハウスが、「技術情報」は、ロシア参謀本部情報総局(GRU)であるとした。
2.2 攻撃開始時刻(H-Hour)
2月24日前後
2月23日、HermeticWiper／FoxBladeという破壊的なマルウエアが、署名入りデジタル証明書を含む高度にカスタマイズされた形で登場した。
2月24日、ロシア軍がキエフを占領しようとしたとき、ロシアのCNOは再びシフトし、今度はウクライナ政府を標的とした破壊的な「ワイパー」コードに移行しました。
2月24日、ウクライナを標的とするIsaacWiperという新しいワイパーのマルウエアが発見された。
Viasat事件
ロシア軍がウクライナに侵攻するちょうど1時間前に発生した、Viasat社の地上インフラに悪意あるファームウェアのアップデートが行われ、米国企業のKA-SATモデムが使用不能になったという事件は、 この戦争で最大のハッキングの1つとされています。ウクライナ軍は、Viasatを軍の指揮統制（C2）に使用しているため、この攻撃はウクライナ政府の通信に「即時かつ重大な」影響を及ぼした。米国政府は、Viasatのハッキングをロシアに起因するものとしています。
2月24日（および3月9日）、ハッカーはウクライナの大手インターネットサービスプロバイダTriolanに侵入し、デバイスを工場出荷時の設定にリセットすることに成功した。攻撃者は同社のネットワークの「重要なノード」を破壊し、一部のルーターは復旧できなかった。一部の機器の復旧には物理的なアクセスが必要であり、戦争が始まるとそれが困難になったため、復旧することが課題となった。
2月24日、ロシア軍がウクライナ国境の町Sumyに侵攻。マイクロソフトはその後の報告で、少なくとも2月17日以降、ロシアのハッカーと疑われる人物がSumyの重要インフラネットワークで活動していたことを指摘した。 3月3日、Sumy州で電気通信の停電が発生し、その後、地域の停電、変電所での爆発、Sumyの熱電併給（CHP）プラントでの爆発により、熱、水、電気が失われた 。
2月25日、ウクライナCERTは、ベラルーシ防衛省（別名UNC1151またはGhostwriter）で働くハッカーが、ウクライナ軍メンバーの個人用メールアカウントを標的としたスピアフィッシングキャンペーンを行ったと発表した。
一連の心理作戦
侵略が始まると、ウクライナに対する心理作戦（PSYOP）に焦点が当てられるようになった。これらの作戦としては、以下の事項がある。
- 兵士（「逃げるか殺されるか」）と市民（「ATMは使えない」）の双方にSMSによる脅迫が送られた。
- ウクライナ軍指導者のFacebookアカウントがハッキングされ、そこからハッカーがウクライナ軍に降伏を命じようとした。 Facebookは、同社のプラットフォーム上で影響力工作を行っていたロシアとベラルーシの国家活動家を検知し、これを妨害した。
- ロシアのスパムボットが反ワックスキャンペーンから反ウクライナキャンペーンに再利用された。
- 7月21日、ウクライナのラジオ局2局がハッキングされ、ゼレンスキーが入院して危篤状態にあるという偽のメッセージを流すために利用された。
2.3 親ロシアハック 進化
CNOと伝統的な軍事作戦は、相関関係があるとしています。
- 3月1日、ロシア軍はウクライナの「偽情報」標的を破壊する意向を表明した。同日、ロシアのミサイルがキエフの主要テレビ塔を破壊し、ロシアの国家ハッカーがウクライナの大手放送局に対してDesertBlade（データを上書きしてマシンを起動不能にするマルウェア群）を展開したと疑われています。
- また、マイクロソフトによると、ロシア軍が原子力発電所を占拠する前に、ロシアが原子力発電所のコンピュータネットワークをダウンさせたケースもあります。
- 3月15日、ESETのリサーチャーは、HermeticWiperやIsaacWiperとコードベースを共有しないCaddyWiperを発見しました。しかし、この新しいキャンペーンは、特にウクライナの組織を標的としており、ユーザデータを破壊し、接続されたドライブ上のパーティション情報を削除していました。
- 3月19日、つまりウクライナが欧州連合の電力網に加盟したわずか数日後に、ロシアのハッカー（GRU Unit 74455または「Sandworm」とされる）が、Windows、Linux、SolarisのOSをワイプできる「Industroyer2」マルウェアを使って9つの変電所を一時的に停止させたとみられています。このハッカーは、電力を停止させた後、電力網を制御するためのコンピュータを破壊しようと試み、失敗しています。
- 3月22日、CERT-UAは、さらに別のワイパーDoubleZeroの詳細を発表しました。
- 3 月 28 日、国営の ISP である Ukrtelecom の「中核インフラ」を標的に、国全体に及ぶネットワーク障害を引き起こし、 最も成功した攻撃のひとつと見られています。NetBlocks によれば、Ukrtelecom の接続性は戦前のわずか 13% にまで落ち込んだという。同社がサービスを回復できたのは、最初の障害発生から15時間後だった30。30 ウクライナ国家特殊通信情報保護局（SSSCIP）のVictor Zhora氏によると、政府はこの攻撃がDDoSではなく、より深く、より巧妙な侵入であることを懸念しているとのことである。
現在進行中の地政学的な事象に明確に反応して行われる攻撃もあります。
6月27日、ロシア外務省がリトアニアに対し、ロシアの飛び地であるカリーニングラードへのEU認可商品の輸送を停止させたとして報復すると脅した際、親クレムリンのハッカー集団「Killnet」がDDoS攻撃を行い、リトアニアの1500以上のサイトを「破壊した」と述べています。 リトアニアの国家サイバーセキュリティセンター（NKSC）によると、一部のユーザーが、政府高官が危機の際に通信できるように特別に構築された同国の安全なデータ転送ネットワークにアクセスできなかったとのことです。
7月中旬までに、Killnetはウクライナを支援する10カ国に対して「宣戦布告」を行いました。
そのロシア侵攻の直後に印象的なテレグラム・チャンネルが作られました。XakNet、Trickbot、Contiで活動する同様の「愛国的」ハッカーは、ロシア情報機関のために、あるいは情報機関とともに働いている疑いがあります。
マイクロソフトによると、2022年6月までにロシアのCNOは、ウクライナ、米国、ポーランド、バルト、スウェーデン、フィンランド、デンマーク、ノルウェー、トルコなど42カ国の128のネットワークへの侵入に成功しました。被害者には、政府機関、シンクタンク、人道支援団体、電気通信、エネルギー、防衛の各企業が含まれています。しかし、ロシアは、2017年のNotPetyaのときよりも、マルウェアの挙動をウクライナの特定のネットワークドメインに限定し、ワームのような挙動を慎重に行うようにもなっています。
ケルソンなど、クレムリンが最近占領したウクライナ領では、ロシアはすぐにウクライナの通信インフラを自国のものに置き換え、ロシア番号のSIMカードも含めて、すべてのデータがロシアを経由するようにしています。こうして、多くのウクライナ人は、電子メールの閲覧、テキストメッセージの傍受、情報の検閲、プロパガンダの流布が可能なロシアの捜査活動システム（SORM）の下で生活することになった。
7月下旬、ロシアの国家ハッカーは、「CyberAzov」と呼ばれるAndroidアプリを広めた。これは、ロシアをハッキングするツールのように見えるが、実際には、このようなアプリを使う人を発見するために作られたマルウェアであった。
ハッキング以外のサイバー作戦
偽情報も関連性がある。
- ボットネットは、ウクライナにある米国の秘密生物兵器研究所に関する話のようなプロパガンダを広める。
- 8月5日、ウクライナ当局は、ウクライナの指導者を貶め、同国に社会的亀裂を生じさせるために使用されていた「100万人規模の」ボットファームを解体し、アカウントの作成と維持に使用されていた5000枚のSIMカードと、IPアドレスを偽装するための200のプロキシサーバーを押収しました。
また、情報をハックする方法は1つだけではありません。
2014年、クリミアキャンペーンはウィキペディアの大量変更によって強化され、ロシアのプロパガンダチームが物語を推進するために活動しました。2022年、モスクワの裁判所はウィキメディア財団に対し、ロシアのウクライナ侵攻に関するウィキペディアの記事中の特定の情報がロシアの「公の秩序」に危険を及ぼすとして削除を求め、500万ルーブルの罰金を科した。また、ドネツク人民共和国は、Google検索エンジンが偽情報を促進したとしてアクセスをブロックしたと発表しています。
親ロシア国家の動向
ベラルーシは、現在、クレムリンへの依存度が非常に高く、3月7日には、APT「Ghostwriter」がウクライナ政府のシステムに「MicroBackdoor」をインストールしているところを捕捉されています。
中国は、ウクライナと西側諸国だけでなく、ロシアとベラルーシに対してもスパイ活動を行ったとして、国家ハッカーを非難しているのです。
ロシアがNATOに対抗している集団安全保障条約機構（CSTO）の5月16日の会合で、モスクワのウクライナ侵攻を支持する発言をしたのはベラルーシだけでした。
3 親ウクライナ・ハック
3.1 攻撃開始時刻(H-Hour)
鉄道信号制御盤の麻痺
あるハッカー集団がベラルーシの反体制派と協力し、ベラルーシを経由してウクライナに向かうロシア軍の配備を妨害するために、ベラルーシの鉄道信号制御盤（まだWindows XPが動作していた）を侵害しました。標的となった列車の交通は数日間「麻痺」し、キエフの北にある40マイルの車列を脆弱化させる一因となったと伝えられています。ベラルーシ警察は破壊工作員 3 名の逮捕を発表し、国営テレビは、膝を撃たれてまだ出血している彼らの 「冷ややかな」映像を放送した。ウクライナ政府の存続に戦略的な役割を果たしたと思われます。
SIM依存
ロシア軍は侵攻後、その両方に苦戦し、キエフを占領することができず、ウクライナ北部からの撤退を余儀なくされた。ロシア軍は軍事通信に支障をきたし、ウクライナのSIMカードに依存するようになったと考えられています。その結果、ロシアの通信は傍受、妨害、位置情報の影響を受けやすくなり、それが異常に多いロシア軍幹部の暗殺につながった可能性があります。
アノニマス「宣戦布告」
2月24日、世界で最も有名なハクティビスト集団アノニマスが、”アノニマス集団はロシア政府に対して公式にサイバー戦争を行っている”とツイートしました。その後、アノニマスの攻撃は、以下のとおりです。
- アノニマスは多くのロシア政府やメディアのサイトを改ざんまたはオフラインにし、ロシア国防総省をdoxedし、ロシアのテレビをハッキングしてウクライナの戦争映像を表示した
- アノニマスはロシアの宇宙研究所（IKI）のWebサイトを改ざんし、ロスコスモスのファイルをリークしました。このファイルは、衛星管制センターはハッキングされていないが、そうすることは “戦争の原因” になるかもしれないと発表しています。
- アノニマスのグループであるSquad 303は、ロシア国民に戦争に関するより良い情報を提供しようと、ロシアの電話番号に数百万通のテキストメッセージを送信した。
3.2ハッカーの同盟
サイバーボランティアの呼びかけ
そのため、2月26日、ウクライナ政府は、ロシアのデジタルターゲットを攻撃する意思のある世界中の人に「サイバーボランティア」を呼びかけることを発表しました。テレグラムの指定チャンネル「IT ARMY of Ukraine」は、30万人近い登録者を獲得しています。割り当てられた任務は、DDoS、プロパガンダ、Doxing、Defacements、情報収集、ロシア市民との簡単な政治対話などです。
当然ながら、ハッカー軍団を動員するには、審査、指揮統制、敵対者の侵入、ミス、報復の可能性など、大きな課題がある。
ハッカーのサイトは、政府、軍事、情報、経済、メディアなどの領域から盗まれたとされる600万以上のロシアとベラルーシの文書を掲載しています。ロシアのマスメディアを監視、統制、検閲する機関であるRoskomnadzorのファイルが36万件もありました。現在進行中の戦争とドキュメントの出所に関する論争のため、データの一部は捏造、改ざん、マルウェアを含む可能性があることを研究者に注意喚起する免責事項が記載されています。
国民国家レベルでは、ロシアが独裁的な国民国家から受けているよりも、ウクライナはNATO／EUの同盟国からはるかに多くの援助を受けていると思われる。
米国
- FBIによる情報共有、USAIDによる数千台の緊急通信機器の提供、DOEによるウクライナの電力網とEUとの統合支援など、ウクライナ支援に積極的で声高な姿勢を示している。米国 DHS／Cybersecurity and Infrastructure Security Agency（CISA）のウェブサイト「Shields Up」は、ロシアの CNO に対抗するための情報報告、最新情報、ベストプラクティスを提供している。ホワイトハウスは、世界中にインストールされたロシアのマルウェアを密かに駆除する先制的なハッキング対策を発表した。また、ロシアのハッカーを名指しで非難しても抑止力は向上しないかもしれないが、防御のための同盟関係を構築することでははるかに優れている。米国のサイバー司令部（CYBERCOM）は、ウクライナのカウンターパートと連携している。
- 6月、CYBERCOMのポール・ナカソネ長官は、米国がウクライナを支援するために「あらゆるスペクトルにわたって」防御的・攻撃的作戦を行っていると発表した。これに対し、ロシアのサイバー外交トップのアンドレイ・クルツキク氏は、このような攻撃的作戦にはすべてロシアが応じると発言している。クルーツキフ氏は、西側から6万5000人以上の「アームチェアハッカー」がロシアに対するDDoS攻撃に参加していると主張し、こうした行動は西側との従来の軍事衝突の危険性を高めると警告した。
- 7 月、CYBERCOM は、ウクライナのセキュリティサービスから受け取った 20 の危険指標（IOC）のリストを公表した。
欧州連合（EU）
2月、ウクライナを支援するため、リトアニアをリーダーとするサイバー迅速対応チーム（CRRT）を創設し、クロアチア、ポーランド、エストニア、ルーマニア、オランダが参加した。
C. 親ウクライナのハッキング 進化
Starlinkの展開
Viasatに対するロシアの攻撃に対するカウンターハックは、イーロン・マスクは即座に彼の衛星インターネットサービスStarlinkをウクライナに提供することを決定したことがあげられる。Starlinkの低軌道システムは、地上のバックパックサイズのステーションと連動し、高速で強力な暗号化、高度な設定が可能なサービスを提供し、ますます巧妙になるロシアのハッキングにも耐えてきた。スターリンクは、この戦争で数え切れないほどの軍民通信に使用されました。スターリンクは、ゼレンスキーを同盟国の指導者と連絡させ、ウクライナの指揮官に戦場で砲撃を要請する能力を与えています。
ロシアのインターネットからの切り離しの是非
当然ながら、情報セキュリティの専門家は、ロシアの CNO だけでなく、国家安全保障や国際関係に関するより幅広い問題について意見を求められることにな る。ある専門家は、西側諸国がロシアを一時的にオフラインにすることで、クレムリンに抑止のメッセージを送ることを提言している。しかし、このような劇的な CNO が望ましい政治的結果をもたらすという保証はなく 、西側諸国が自分たちの有利な CNO を奪うことになりかねない。米国とロシアは、どちらかの国の NC3 を阻害すれば、破滅的な結果を招くと警告している 。
プーチン演説妨害事件
戦争が激化するにつれ、各国が優位に立とうとするため、毎日が何かをハッキングするのに適した日々となっ ている。6月17日、DDoS攻撃により、ロシアのプーチン大統領の演説が100分間遅延する事件が発生した。この事件は、サンクトペテルブルク国際経済フォーラムで発生し、プーチンは（最終的に）欧米の制裁に直面したロシアの回復力について講演を行った。66 この攻撃は会議参加者のデータベースを攻撃したとされ、中国やエジプトの指導者層を含むゲストの審査プロセスを複雑化させました。
IV.戦時中における評価
影響力のあるハッキング
国民国家のコンピュータ・ハッキングは機密扱いのため、オープンソースの研究者はすべてを見ることができない。しかし、この戦争におけるコンピュータ・ハッキングの例として、すでに公に知られているものがたくさんあります。
また、単一の CNO が戦略的な影響を与えることはないでしょうが、兵士が何らかのハッカーの支援なしに動くことはないことは、今日ほとんど疑いの余地がありません。
最も影響力のあるハッキングは、親ロシア派によるViasatの破壊と、親ウクライナ派によるベラルーシ鉄道のハッキングという、戦争開始時に起こったと思われる2つのハッキングです。
この戦争がCNOを理解する上で何を意味するのか、よりよく把握するためには時間がかかると考えられる。
現時点では、ロシアがもっとウクライナのネットワークを破壊できなかったのか（例：防空通信や指導者通信）、それとも意図的に維持されたのか（例：ロシアのスパイ活動や軍事通信を容易にするため）、ということが重要な問題の1つとなっています。5 月 30 日にエストニアで開催されたある専門家ワークショップでは、今回の戦争で、実はロシアのサイ バー能力の全容を見ることができたのではないかと指摘する一方で、実戦の高い作戦テンポにより、少なくとも 一時的にツール、人員、作戦の燃え尽き率が高くなるとも述べている。
1 月、ロシアは PSYOP によるウクライナへの威嚇を重視するあまり、開戦前にウクライナのネットワー クへのアクセスを焼き尽くしてしまったという説がある 。 また、モスクワが単に迅速かつ容易な勝利を期待した可能性もあるが、これは歴史上よくある政治的過ちである。あるいは、ウクライナのインフラは、国そのものと同様に、征服するにはあまりにも大きく、多様で、結びつきが強すぎたのかもしれない。
西側からの贈り物
ウクライナの SSSCIP の責任者である Yurii Shchyhol 氏によれば、少なくとも 3 つの違いを生む西側からの贈り物があった。
- Starlink によってウクライナが破壊されたインフラを再稼働できたこと、
- サーバーとモバイルデータセンターによってウクライナが機関全体のバックアップコピーを作成し、政府の継続運用を可能にし たこと、
- 侵略以来、Amazon プライベートクラウドなど、高価なソフトウェアが無償で提供されて、政府が国家登録からのデータを管理できるようになったこと
戦場の分散化とその保護
- キエフの戦いでは、クラウドファンディングによって設立された、四輪バイクでドローンを飛ばすウクライナの特殊部隊が、侵略者への嫌がらせに成功した。
- ある15歳のウクライナ人少年は、ドローンでロシアの車列をピンポイントで捉え、その映像が20台以上のロシア軍車両の破壊につながった。
- ドローン情報部隊「ドニプロ1」は、最大800gの爆発物を機体に搭載することができる。
- 6月22日、ロシアのロストフにあるノヴォシャフチンスク製油所にドローンが墜落し、大爆発を起こし、工場が閉鎖された。
- 7月31日、クリミア半島にあるロシア黒海艦隊司令部で爆発物を搭載した手製と見られるドローンが爆発し、6人が負傷、ロシアの海軍記念日の祝日が中止となった。
- 7月12日、ホワイトハウスは、イランがロシアに戦闘能力を持つ可能性のある無人機を供給する準備を進めていると発表した。
また、戦争が終わっても、ロボットサッパーが地雷原の除去に貢献する。
しかし、この戦争におけるドローンは、妨害、追跡、破壊に弱く、平均寿命はわずか7日である。
ロシアの破滅への途
最後に、この戦争はウクライナだけでなく、ロシアにとっても破滅的なものである。
- DEF CON 30の観点から見ても、科学者、知識人、芸術家が1917年以来の数でロシアを離れているという事実は、ロシアがハッカーを流出させていることを意味します。
- 一般にロシアで「最もクール」な企業であり、Googleに対する国家の回答であると考えられていたYandexだけでも、戦争が始まってから（CEOを含む）数千人の従業員を失っている。
- RUNETは今やデジタル鉄のカーテン、自業自得のサービス拒否であり、失われた人材を補充するには何年もかかるだろう。
- SSSCIPは現在、欧米のネットワーク上でロシアのコードが実行されないよう欧米に働きかけており、国際電気通信連合（ITU）などの国際組織からロシアを追放するよう求めている。
ウクライナでは、戦時中にもかかわらず、空襲のサイレンに関係なく、在宅勤務の IT 分野が明らかに繁栄しているため、逆のことが起きているようです。
A. 主な考察
1. コンピュータ・ネットワーク防御（CND）は進化している
a. サービス妨害によるコンピュータ・ネットワーク攻撃（CNA）の抑止に期待が持てる
2. CNAは破壊的であるが決定的ではない
a. 莫大な労力を必要とし、結果の保証はない
3.同盟は勝利の鍵である
a ウクライナはNATO、EU、IT／情報セキュリティ企業、ハッカーからCNOの支援を受けている
4. サイバーパワーはソフトパワーである
a. ITとコンピュータハッキングは独裁的というより民主的である
5.接続性は、驚くほど耐性がある
a ウクライナと奇才ゼレンスキーはまだ繋がっている
6. 情報操作はCNAを凌駕している
a. シンプルさとリーチが複雑さと限界を凌駕している
7.アトリビューションは、トレンドである
a 政府機関やIT企業は、記録的な速さでハッカーの名前を挙げている
8. クラウドにバックアップを取る。
a もし可能であれば、他の国に
9 分散化された戦争は、攻撃者に大きなチャンスを与える。
a 防衛者にも
法的観点からは、全面的な武力紛争のひとつのドメインとして、通信部門が正面から取り上げられた、ということがトピックになるのだろうと思います。この整理と、いまひとつ、それ自体は、人の生命・身体・業務の遂行に対する加害を伴わない作戦について、全面的な整理が必要になるだろうと思います。まずは、そのためにハイブリッド脅威という概念の整理が必要になるだろうと考えています。それは、次のエントリで。
