研究者が、イラン関連のサイバー工作で Stuxnet に先行した可能性のある初期サボタージュ型マルウェアを解読

より古く、より巧妙なサイバーサボタージュの一章が浮かび上がる

研究者らは、長らく謎に包まれていたマルウェアサンプル Fast16 をついに解読したと述べている。これは 2005 年ごろのものとみられ、スパイ活動や破壊ではなく、サボタージュのために設計された可能性がある。SentinelOne の研究者 Vitaly Kamluk と Juan Andres Guerrero-Saade によれば、このマルウェアは専門的な科学・工学ソフトウェアの出力を静かに操作し、誤った研究結果、性能低下、さらには実世界のシステムで物理的な故障を引き起こす可能性があったという。

その説明だけでも、国家と結び付いた有名なサイバー兵器に彩られた歴史の中で Fast16 を際立たせる。Stuxnet が象徴的な事例となったのは、故障原因を隠しながらイランの核遠心分離機を妨害したからだ。研究者の解釈が正しければ、Fast16 はそれより早い時期の、そしてある意味では概念的により不穏なアプローチを示す。つまり、機器を直接壊すのではなく、研究者や技術者が依存する計算そのものを変えてしまうという手法だ。

Fast16 の動作とされる仕組み

研究者らは、Fast16 はネットワーク上に拡散し、その後、高精度の数学ソフトウェアやシミュレーションソフトウェアに干渉するよう作られたとみている。データを消去したり、自身の存在を知らせたりするのではなく、計算にわずかな変更を加えることに重点を置いているという。そうした変更は、やがて故障や誤った結果、構造上・運用上の障害につながり、すぐには悪意あるコードに結び付けられない可能性があると彼らは指摘する。

そこが最大の懸念点だ。通常のサイバー攻撃では、混乱は目に見える。しかしこのモデルでは、攻撃者は出力への信頼を損なうことを狙う。シミュレーションが誤っていれば、設計が不完全になる。モデルが改変されれば、それに基づく判断は誤りを増幅しかねない。侵害されたシステムはなお正常に動いているように見えるため、サボタージュの検出は難しくなる。

SentinelOne の研究者は、Fast16 が改ざん対象として設計された可能性のあるソフトウェアを 3 つのカテゴリに絞り込み、いずれもシミュレーションまたは高精度計算に関連していたという。完全な運用履歴はなお不透明だが、この分析は、工学や科学のプロセスに深い技術層で影響を与える目的のツールを示している。

イランという視点が重要な理由

研究者らは、Fast16 はおそらく米国、あるいはその同盟国のいずれかによって作成され、イランで使用された可能性があると述べている。この帰属は現時点では公開された法的認定ではなく、専門的な評価にとどまるが、イランの核・研究能力を妨害しようとする取り組みに関連したサイバー作戦の広い歴史の中にこのマルウェアを位置付けるものだ。

2005 年という時期の推定が正しければ、Fast16 は Stuxnet に関連付けられる 2007 年の展開より前に存在していたことになる。つまり、国家によるサイバーサボタージュの進化のより早い段階に属し、攻撃的作戦がすでにソフトウェア操作を通じて現実世界に影響を与える高度に特化した方法を模索していたことを示している。

戦略的な魅力は明らかだ。計算を静かに改変できるツールは、もっともらしい否認性、発見の遅れ、そして最初は外部からの干渉ではなく技術的なミスや機器の弱さに見える可能性のある被害メカニズムを提供する。

データ窃取から認識論的サボタージュへ

Fast16 の発見が際立つ理由の一つは、サボタージュ型マルウェアとは何かについての一般理解を広げる点にある。サイバー報道の多くは、スパイ活動、ランサムウェア、あるいは破壊的なワイパー攻撃に焦点を当てる。Fast16 は、より不穏なカテゴリーを示している。それは認識論的サボタージュであり、標的の現実理解そのものが損なわれるというものだ。

科学・工学ソフトウェアは、しばしば重要な意思決定の上流に位置する。設計公差、安全余裕、性能予測、研究結論に影響を与える。もしマルウェアがその層を改変すれば、下流への影響は広範で、切り分けが難しくなる。直接の被害は、システムの故障、試作機の性能不良、あるいは研究が誤った方向へ進んだ後になって初めて表面化するかもしれない。

そのため、この種のツールは特に陰湿だ。単に機械を壊すのではない。機械、システム、物理プロセスを評価するために用いられる方法そのものへの信頼を損なう。

サイバー紛争の根は公開記録が示すより深いという警鐘

Fast16 の解読は、最もよく知られたサイバー作戦は、より長い技術史の見えている部分にすぎないことを思い出させる。攻撃的サイバーキャンペーンに対する一般の認識は、展開から数年遅れ、理解は発見からさらに数年遅れることが多い。Fast16 は 2017 年の流出で初めて公に姿を見せたが、研究者がその役割をより明確に示し始めたのは、ようやく今になってからだ。

この時間差は、政策と防御の両方にとって重要だ。まだ十分に理解されていない歴史的ツールや、公開の議論が想定するよりも長く存在してきた攻撃概念が、他にもある可能性を示している。防御側にとっての教訓は、既知のマルウェアファミリーをスキャンするだけではなく、科学・産業・工学の環境のどこで静かな完全性攻撃が起こり得るかを、より広く考えることだ。

政策立案者にとって、この研究は、攻撃的なサイバー能力がネットワークやファイルだけでなく、産業および科学の知識そのものの信頼性を標的にしうることを示している。

• SentinelOne の研究者によれば、Fast16 は 2005 年のもので、初期のサボタージュ型マルウェアだった可能性がある。
• このコードは、データ削除やシステム妨害ではなく、科学・工学計算を改変していたとされる。
• この発見は、イランに関連するサイバーサボタージュ技術が、Stuxnet が広く知られる前から進化していた可能性を示唆する。

この記事は Wired の報道に基づいています。元記事を読む。