文書ID:CTI-2026-0520-FAST16発行日:2026年5月20日アナリスト:Dennis Kim (HoKwang Kim, 김호광) — CEO, Betalabs Inc. / Independent CTI Analyst / Microsoft Azure MVPTLP: CLEAR

エグゼクティブ・サマリー

本レポートは、2026年4月にSentinelLABSが初めて公開し、2026年5月にBroadcom Symantec Threat Hunter Teamが後続分析を発表したfast16サボタージュ・フレームワークに関する統合分析である。fast16は2005年頃にコンパイルされたと確認されるコードベースを持ち、Stuxnetより少なくとも5年早い時点で既に国家レベルのサイバー・サボタージュ能力が構築・運用されていたことを示している。

Symantecの後続分析は、SentinelLABSが特定できなかった核心的な問い — 「攻撃者は正確に何を改ざんしようとしていたのか」— に決定的な答えを提供する。fast16のフッキング・エンジンは爆発性高精度シミュレーション・ソフトウェアであるLS-DYNAとAUTODYNを標的とし、内部ロジックはウランが30 g/cm³以上の密度 — すなわち爆縮型(implosion-type)核兵器でのみ到達可能な衝撃圧縮条件 — に達したときにのみ発火する。

主要な結論 (Key Findings)

  • fast16は核兵器設計の核心ステップである高性能爆薬の爆縮(implosion)シミュレーションの出力値を秘密裏に改ざんするよう設計されている。
  • ウラン密度30 g/cm³を閾値として動作する。これは自然界では到達不可能であり、核兵器の爆縮圧縮でのみ観察される値である。
  • 最大10種類の異なるLS-DYNA/AUTODYNビルドに合わせてフッキング規則が精緻に調整されており、標的組織のソフトウェア更新を多年にわたって追跡しながら運用された作戦であることを示唆する。
  • Lua 5.0仮想マシンを内蔵したキャリア、ブート開始ファイルシステム・ドライバ、ルールベース・コードパッチング・エンジンで構成されるモジュラー・アーキテクチャは、Flame、Project Sauronなど後年の先端インプラントより3~5年早い。
  • 自己伝播(ワーム)メカニズムは同一サブネット内部のみに限定されるよう設計されており、標的ネットワーク外に漏出させない作戦規律を示している。
  • Shadow Brokers流出資料のNSA「Territorial Dispute」コンポーネントに「fast16」という名称が「Nothing to see here – carry on」という回避シグネチャと共に登場しており、米情報機関が遅くとも2017年以前からこのフレームワークの存在を認知していたことを示唆する。

脅威評価 (Threat Assessment)

項目 評価
帰属推定 国家アクター(Nation-State)。米国情報機関との関連可能性が多数の状況証拠により示唆されるが、公式には未帰属。
作戦期間 少なくとも2005年頃~2010年代中盤(複数ビルド追跡の状況証拠より)。
標的産業 核兵器の研究開発、高性能爆薬シミュレーション、爆発動力学研究機関。
技術的洗練度 最高位(Apex)。ドメイン専門性、コンパイラ・アーティファクト認識、複数ビルド追跡が結合した作戦事例は同時期に比較対象がない。
作戦上の影響 標的核開発プログラムの設計検証を遅延させ誤りを誘発。Stuxnet以前に既に「物理プロセス・サボタージュ」のパラダイムが確立されていたことを実証。

1. 発見の文脈と意義

1.1 二つの分析チームによる協働的発見

fast16の公開は2段階で行われた。2026年4月23日、SentinelLABSのVitaly KamlukとJuan Andrés Guerrero-Saadeが「組み込み型Lua仮想マシンを使用する最古の精巧なWindowsマルウェア」を追跡する過程で偶然発見したsvcmgmt.exeを出発点とする分析を公開した。この分析はfast16のアーキテクチャ、自己伝播メカニズム、FPUベースのパッチング・エンジンの存在を特定したが、標的ソフトウェアの正確な正体と改ざんの最終目的は解明されないまま残されていた。

2026年5月16日、Broadcom Symantec Threat Hunter Teamが後続分析を公開し、この空白を埋めた。SymantecはSentinelLABSが抽出した101個のバイト・パターン・ルールを分析し、LS-DYNAとAUTODYNが標的であることを確定した。さらに、フッキング・コードの意味論的分析を通じて、改ざんメカニズムが核兵器爆縮シミュレーションの特定の物理段階でのみ活性化するという決定的な事実を解明した。

核兵器シミュレーション・プロセスを妨害するための国家規模のハッキング・プログラム。

1.2 Shadow Brokersと「Territorial Dispute」の影

2017年4月、Shadow Brokersが流出させたNSAツール群のうちTerritorial Dispute (TeDi)コンポーネントには、NSAオペレーターが標的システムで遭遇する可能性がある「敵対的」または「友好的」インプラントを識別するためのシグネチャ・リストが含まれていた。そのリストの「fast16」項目には次の指示文が付されていた:

fast16 *Nothing to see here – carry on*

この短い一行はアナリストにとって9年間未解決のミステリーだった。「見るものはない、通り過ぎろ」という表現は、NSAオペレーターがfast16に遭遇しても衝突や暴露なく回避することを意味すると解釈され、これはfast16のオペレーターがNSAと「ディコンフリクション(deconfliction)関係」にある — つまり友好国または同陣営の — アクターである可能性を示唆する。SentinelLABSの分析は、svcmgmt.exe内部のPDBパスC:\buildy\driver\fd\i386\fast16.pdbを通じて、2005年のバイナリと2017年の流出文書を決定的に結びつけた。

1.3 「Stuxnet以前」が意味するもの

Stuxnetは長らく「物理プロセスを標的とした最初のサイバー・サボタージュ兵器」と見なされてきた。2010年に公開されたStuxnetはイラン・ナタンズのウラン濃縮遠心分離機を標的とし、PLCファームウェア・レベルで回転速度を微細に操作する精度でサイバー攻撃の新時代を切り開いたと評価されている。

fast16の発見はこの歴史的叙述を根本的に修正する。fast16はStuxnetと同じ概念的系譜— ベンダーの製品一般ではなく、その製品がシミュレートまたは制御する特定の物理プロセスに合わせて設計されたマルウェア — に属するが、時期的には約5年早い。これは単なる優先順位の問題ではない。国家レベルの物理プロセス・サボタージュ能力が2005年頃には既に完成段階にあったこと、そして同時期の他の精巧なインプラント(Flame、Duqu、Equationなど)がこの系譜の「初期作品」ではなく、既に成熟した開発プログラムの後期成果物である可能性を示している。

2. 技術アーキテクチャ

2.1 3コンポーネント・モジュラー構造

fast16フレームワークは明確に分離された3つの構成要素から成る:

コンポーネント 役割 主要な特徴
svcmgmt.exe キャリア / 伝播モジュール Lua 5.0 VM内蔵。暗号化されたLuaバイトコードで伝播ロジック、永続化、インストール判断を実行。約315KB。2005年8月30日コンパイル。
fast16.sys カーネル・ドライバ / パッチング・エンジン ブート開始ファイルシステム・フィルタ・ドライバ。SCSIクラス・グループに登録され、NTFS、FAT、MRxSMBの上に付着。EXPLORER.EXE起動後に活性化。約44KB。
svcmgmt.dll 報告 / テレメトリ MPRネットワーク・プロバイダ通知受信者として登録。WNetAddConnection呼び出し時にロードされ、\\.\pipe\p577名前付きパイプで新規共有接続情報を報告。

2.2 svcmgmt.exe: Lua VMベースのキャリア

svcmgmt.exeはWindows 2000/XP時代のありふれたコンソール・モードのサービス・ラッパーに見えるよう偽装されている。しかし内部にはLua 5.0仮想マシンが組み込まれており、以下のカスタマイズが施されている:

  • wstringモジュール: ネイティブUnicode処理
  • シンボリック暗号モジュール「b」: 組み込みデータの復号
  • Windows NTのファイルシステム、レジストリ、サービス制御、ネットワークAPIに直接バインドされる多数のモジュール

Luaバイトコードのマジック・バイト1B 4C 75 61 (\x1bLua)を出発点に追跡したことが発見の手がかりとなった点は示唆的である。Flame、Animal FarmのBunny、PlexingEagle、Project Sauronなど後年の最高位インプラントは全てLua VMをモジュラリティの中核として採用したが、fast16はその最古の事例として約3年早い。

実行モード(コマンドライン引数)

引数 動作
(なし) Windowsサービスとして実行
-p InstallFlag=1を設定してサービス実行 (Propagate/Install & Run)
-i InstallFlag=1を設定してLuaコード実行 (Install & Execute Lua)
-r InstallFlag設定なしでLuaコード実行 (Execute Lua)
<filename> IFEO永続化モード。合法プログラムを乗っ取るラッパー/プロキシとして動作

2.3 fast16.sys: カーネル・レベルの精密サボタージュ・ドライバ

フレームワークで最も強力なコンポーネントであるfast16.sysはStart=0(ブート)、Type=2(ファイルシステム・ドライバ)としてSCSIクラス・グループに登録され、ディスク・デバイス・ドライバと同じ段階で非常に早期にロードされる。ロード直後に以下を実行する:

  • Windows Prefetcherを無効化(EnablePrefetcher=0): 後続のコード・ページ要求をファイルシステム・スタック全体に強制ルーティング
  • XORベースの文字列暗号とntoskrnl.exeスキャンによるカーネルAPIの動的解決
  • \Device\fast16および\??\fast16の公開(DeviceType 0xA57C — 副次的フォレンジック・マーカー)
  • IoRegisterFsRegistrationChangeにより、現在および新規ファイルシステム・デバイスの上に作業デバイス・オブジェクトを付着
  • IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_CLOSEなどすべての関連I/O Request Packetを作業デバイス経由でルーティング

ドライバはブート時にロードされるが、カーネル・レベルのコード・インジェクション・エンジンはEXPLORER.EXEが開かれた後にのみ活性化される。これはブート性能への影響を最小化(起動が遅いと調査されてしまうため)し、デスクトップ環境が利用可能になった後にのみ監視とパッチングを実行するための設計である。

標的識別: Intelコンパイラ・アーティファクト

ドライバはすべての実行ファイルを無差別に改ざんしない。標的の資格は2つの条件の組み合わせで決まる:

  • ファイル拡張子が.EXE- 最後のPEセクション・ヘッダ直後に「Intel」で始まる印字可能なASCII文字列が存在(Intel C/C++コンパイラのメタデータ)

この選別ロジックは、攻撃者が標的ソフトウェアがどのツールチェーンでビルドされたかを知っていたことを示している。LS-DYNAとAUTODYNはいずれも精密な浮動小数点演算のためにIntel Fortran/C++コンパイラでビルドするのが業界慣行であった。

高精度演算を緻密にターゲティングしたものである。どれほど高精度な演算を行う集団であり、業界慣行をどれほど理解しているかを考えると、一個人が作れるレベルではない。

3. 核心: サボタージュ・メカニズムの意味論的分析

Symantecの後続分析の最も決定的な貢献は、fast16がLS-DYNAとAUTODYNの内部で*正確に何を改ざんしているのか*を解明したことである。フッキング・エンジンは101個のバイト・パターン・ルールを持ち、それらは更に9~10個の「フッキング・グループ」に分離される。各グループはLS-DYNAまたはAUTODYNの特定ビルドに対応する。改ざんロジックは3つのメカニズムに分類される。

3.1 メカニズムA: 初回マスキング後の出力スケーリング

メカニズムAのフック・ポイントが1回目と16回目に到達したとき、fast16は単に制御を返す(何もしない)。その後、シミュレーション入力値が30から65の間にある場合、出力値を正常値の10%にスケールダウンし、以降も継続して10%水準を維持する。

最初の2回の呼び出しで改ざんをマスキングするのは、「コールド・スタート・テストを通過させるためのカウンター回避」設計と解釈される。つまり、ユーザーが新しい環境で最初の検証テストを実施する際には正常な結果を返して疑念を回避し、実運用シミュレーションでのみ改ざんが発現する。

新しい開発シミュレーション環境では、既に検証可能なデータ値を実行してみるのが実験の一般的なプロセスである。そのため、最初からエラーを返さないよう設計過程で細心に実装されている。

3.2 メカニズムB: LS-DYNA — ウラン圧縮シミュレーションの改ざん

メカニズムBはLS-DYNAを標的とする。フック・ポイントはまずEOS(状態方程式、Equation of State)選択値を確認する:

EOS番号 モデル名 物理的意味
2 Jones-Wilkins-Lee (JWL) 高性能爆薬爆発生成物の圧力-体積関係の標準モデル
3 Sack Tuesday 高圧衝撃波圧縮モデリング
7 Ignition and Growth of Reaction in High Explosives 高性能爆薬反応成長モデル(点火後伝播シミュレーション)

これら3つのモデルはいずれも高性能爆薬挙動のシミュレーションにのみ使用されるという共通点を持つ。EOS条件が満たされると、改ざんルーチンはシミュレーションの特定属性が初期値の5倍に達するまで待機する。その後、コーシー応力テンソルの出力値(sig_xx、sig_yy、sig_zz)を改ざんする。

改ざんのトリガー条件は明確である。シミュレーション対象物質の密度が30 g/cm³に到達したとき、コーシー応力テンソル値を実値の1%に減少させる。ただし、即座に1%まで落とすのではなく、密度が60 g/cm³に達するときに1%になるよう、「自然な」勾配で減少させる。シミュレーションが実際に60 g/cm³に到達する必要はない。60は単に勾配計算用の基準点にすぎない。

コーシー応力テンソルは物質の圧縮性を決定する熱力学的圧力を表す。Symantecのテストでは、この改ざんはシミュレーションが33 g/cm³までの圧縮をモデル化する際に実際より増加した圧縮率を示す結果を生成した。つまり、シミュレーション利用者は実際には到達不可能な圧縮レベルに達したと判断することになる。

3.3 メカニズムC: AUTODYN — 可変終端密度スケーリング

メカニズムCはAUTODYNを標的とし、EOS番号3 (Ideal Gas)、5 (JWL)、11 (Lee-Tarver)を確認する。加えて、メモリに"$Loading co"文字列が存在するかも検査する(AUTODYN固有のマーカー)。

改ざんはシミュレーション属性が初期値の5倍に達し、かつウラン密度が30 g/cm³の圧縮状態に達したときに開始される。出力スケーリングはソフトウェア・バージョンによって以下のように異なる:

開始密度 終端密度(勾配基準) 最終改ざん率(実値比)
30 g/cm³ 60 g/cm³ 42%
30 g/cm³ 40 g/cm³ 10%
30 g/cm³ 47 g/cm³ 10%
30 g/cm³ 48 g/cm³ 8%

異なる終端密度が使用されたことは、*標的組織の設計段階が時間経過とともに進化した*ことを示唆する。攻撃者は標的が使用するシミュレーション・バージョンが変わるたびに新しい改ざん方法を考案した。101個のフック・ルールが9~10個のグループに分離されている事実は、最大10個のLS-DYNA/AUTODYNビルドにわたって多年間追跡された作戦であったことを裏付ける。

核プログラムを阻止するためにどれほど長期間、様々な研究所に対してターゲティング攻撃が継続されてきたかが分かる。

4. なぜ30 g/cm³なのか? — 核兵器設計との結びつき

fast16の閾値30 g/cm³は恣意的に選ばれた数字ではない。この値は自然界の物質のいかなる定常状態でも到達不可能であり、核兵器爆縮設計の衝撃圧縮条件でのみ観察されるウランの圧縮密度である。

4.1 爆縮型(implosion-type)核兵器の物理

純ウランの常温密度は約19.1 g/cm³である。この密度ではウランの臨界質量が大きすぎて実用的な兵器設計が困難である。爆縮型核兵器の中心的なアイデアは、ウラン(またはプルトニウム)コアを高性能爆薬の精密な同時爆発で取り囲み、超高密度に圧縮することで臨界質量を低下させ超臨界状態に到達させることである。

圧縮が進むとウラン原子核間の距離が縮まり、核分裂時に放出された中性子が他のウラン核に衝突する確率が指数関数的に増加する。この連鎖反応が臨界レベルを超えると核爆発が発生する。fast16の30 g/cm³閾値は正常密度の約1.57倍に相当し、爆縮圧縮でのみ可能な領域である。

4.2 改ざんの戦略的効果

fast16の改ざんは双方向から核開発プログラムを破壊することができる:

  • 偽陽性 (False Positive): 実際には超臨界に到達していない設計を「成功」と誤判定させ、実際の製造時に動作しない兵器を生産させる。
  • 偽陰性 (False Negative): 動作可能な設計を「失敗」と判定させ、開発チームが実際には到達すべき設計を継続的に修正・再シミュレーションし、時間と資源を浪費させる。
  • クロス検証の遮断: 自己伝播メカニズムが同一ネットワークのすべてのシミュレーション・システムに同じ改ざんを一貫して適用するため、他のシステムで同じシミュレーションを再実行して検証する「算術検証」防御が無力化される。

4.3 作戦効果に関する状況証拠

Symantecは標的組織がfast16の影響を認知していた可能性を示唆する2つの状況証拠を提示している:

  • フッキング・グループの時間逆行: 一部のフック・ルール・グループは、新しいバージョン向けのグループが追加された後に、より古いバージョン向けに追加されていた。これは、シミュレーション利用者が結果の異常を察知して古いバージョンに戻したとき、攻撃者がその古いバージョンを新たに標的化したことを示唆する。
  • 頻繁なバージョン更新: 10種類の異なるビルドに対するフッキング・グループが存在するという事実は、標的利用者がシミュレーション・ソフトウェアを比較的頻繁に更新していたことを意味する。これは結果の異常に対応するための試みであった可能性がある。一般的にインストール済みのシミュレーション・ソフトウェアは、PCが故障する程度の頻度でしか更新されない。

異例な標的バージョン・ロールバックに対応するコードと頻繁なビルドが存在する理由は、核プログラム運営者が異常現象を認知していたことの間接的な証拠である。

4.4 SentinelLABSの補完的標的仮説

SentinelLABSの初期分析はパターン・マッチングを通じて、LS-DYNA 970以外にも次の2つのソフトウェアを候補として特定した:

  • PKPM: 中国で広範に使用される構造工学CADソフトウェア・スイート。建物設計、耐震/風荷重分析に使用。核シミュレーションとは直接の関連は薄いが、同じフッキング・パターンが偶然マッチしただけの可能性がある。
  • MOHID: ポルトガル・リスボン工科大学で開発された海洋/沿岸水文力学モデリング・システム。水質、堆積物輸送、油流出モデリング用。

Symantecの後続分析は、フッキング・エンジンの意味論的分析を通じて、実際の活性標的はLS-DYNAとAUTODYNの高性能爆薬シミュレーションであることを確定した。PKPMとMOHIDはフッキング・パターンが部分的にマッチするだけで、EOS条件と密度閾値が満たされないため、実際には改ざんトリガーが発火しない。

SentinelLABSの報告書が引用した状況の中で注目すべきは、LS-DYNAがイランAMADプログラムの高性能爆薬ペイロード研究およびJCPOA Section T違反疑惑に関連して公開報告書で言及されていたことである。Symantecが分析に「Institute for Science and International Security」の協力を明記していることも、fast16の標的推定がイラン核開発プログラムである可能性を強く示唆している(ただし両報告書とも明示的な帰属は控えている)。

5. 伝播、永続化、作戦規律

5.1 インストール前の事前点検(Pre-installation Kill-Switch)

fast16のオペレーターは暴露リスクを回避するため、洗練された環境認識メカニズムを構築した。インストール前のok_to_install()ルーチンは以下を検査している:

  • NtfsMetaDataMutex検査により単一インスタンスを保証-18種類のセキュリティ製品レジストリ・キーをスキャンし、いずれか1つでも存在すれば伝播を拒否

スキャン対象のセキュリティ製品リストは、2005年時点の「標的ネットワークに存在することが予想される」製品群を反映している:

HKLM\SOFTWARE\Symantec\InstalledApps
HKLM\SOFTWARE\Sygate Technologies\Sygate Personal Firewall
HKLM\SOFTWARE\TrendMicro\PFW
HKLM\SOFTWARE\Zone Labs\TrueVector
HKLM\SOFTWARE\F-Secure
HKLM\SOFTWARE\Network Ice\BlackIce
HKLM\SOFTWARE\McAfee.com\Personal Firewall
HKLM\SOFTWARE\ComputerAssociates\eTrust EZ Armor
HKLM\SOFTWARE\Kerio\Personal Firewall 4
HKLM\SOFTWARE\KasperskyLab\InstalledProducts\Kaspersky Anti-Hacker
HKLM\SOFTWARE\Agnitum\Outpost Firewall
HKLM\SOFTWARE\Panda Software\Firewall
... (計18個)

5.2 永続化: Image File Execution Options (IFEO) の悪用

fast16はWindowsのImage File Execution Options機能を悪用して永続化を確立する。自身のパスを以下の場所のDebugger値に記録する:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\
  Image File Execution Options\<target>

これにより、ユーザーが標的アプリケーションを実行するとWindowsはfast16を代わりに実行する。fast16は次のシーケンスを実行する:

  • 当該レジストリ・キーを削除
  • オリジナルのアプリケーションを実行
  • 永続化維持のためレジストリ・キーを再追加
  • -r引数で自身を通常実行モードで再実行

ユーザーは正常に動作するアプリケーションを目にするが、ハイジャックは毎回の実行後に即座に復元される。アナリストがレジストリ・キーを発見しても、次回実行時に自動的に復旧するため静的な除去は効果がない。(該当シミュレーション・ソフトウェアを再インストールしても意味がない。)

5.3 自己伝播: MPR + 管理共有

fast16の伝播メカニズムは2段階で構成される:

  • svcmgmt.dllを抽出してMPR (Multiple Provider Router)ネットワーク・プロバイダ通知受信者として登録。WNetAddConnectionを呼び出すすべてのプロセスにDLLがロードされ、新規共有接続を名前付きパイプ\\.\pipe\p577で報告。
  • すべてのドメイン、サーバ、共有を列挙してリモート・ホストを発見。各候補ホスト名をIPに解決し、ローカル・ネットワーク範囲(10.x.x.x、172.16.x.x、192.168.x.x)と同一サブネット規則で検証。
  • 資格を満たすマシンに対してローカル・ログオン・ユーザーの資格で偽装(impersonation)し、\\<remote>\admin$\system32\svcmgmt.exeに自身をコピー、リモートのSvcMgmtサービスを生成して実行。

「標的ネットワーク外部に漏出させない」意図的な制限

fast16の伝播メカニズムが同一サブネットおよびRFC 1918プライベートIP範囲に意図的に制限されている点は、作戦規律の強さを示している。2000年代中盤の一般的なワームはインターネット全体への無差別拡散を試みたが、fast16は標的施設の隔離された研究ネットワーク内部でのみ動作するよう設計されている。これは以下を意味する:

  • 核研究施設のair-gappedまたは部分隔離ネットワークが明確な標的環境である
  • 偶発的な外部暴露リスクを最小化 — 作戦保全(OPSEC)を最優先
  • 初期侵入は別の手段(USB、サプライチェーンなど)で行われ、fast16は侵入後の内部拡散ペイロード

ヒューミント — 人の手で実験室の閉鎖網に持ち込まれ、閉鎖網内で最小限の動作で閉鎖網内でのみ伝播する構造であり、検知が極めて困難である。

6. 国家規模のサイバー攻撃プログラムの帰属に関する状況分析

両報告書ともに明示的な国家帰属は控えているが、累積する状況証拠はアクターの輪郭を強く示唆する。

6.1 Shadow Brokersの「Territorial Dispute」シグネチャ

NSAのTerritorial DisputeコンポーネントはNSAオペレーターが標的ボックスで遭遇する可能性のある他のインプラントを「友好的」または「敵対的」に分類するためのシグネチャ・データベースであった。fast16に対する「Nothing to see here – carry on」という指示文は、NSAオペレーターがfast16に遭遇しても回避・ディコンフリクションせよという命令と解釈される。

Crysys LabのBoldizsár Bencsáth博士の分析において、この項目は他のシグネチャと比較して際立って異例である。これは2つの解釈を可能にする:

  • Five Eyesまたは同盟国の作戦: fast16がNSAとディコンフリクション関係にある同盟情報機関(GCHQ、ASIS、CSE、GCSBまたはイスラエル8200部隊など)の資産である可能性。
  • NSA自身の作戦のサイロ化された分派: 同一機関内の別部署が運用する作戦で、偶発的な衝突を防ぐための内部ディコンフリクション・マーカー。

6.2 ドメイン専門性の深さ

fast16のフッキング規則が示すドメイン知識のレベルは2005年時点で比較対象を見出すのが難しい:

  • どのEOS形式が高性能爆薬モデリングに関連するかの正確な特定
  • Intel Fortranコンパイラが単精度の陽的動力学ソルバで生成する呼び出し規約を事前に認知
  • コーシー応力テンソル出力値の意味とシミュレーション結果への影響の理解
  • どのクラスのシミュレーションが改ざんゲートをトリップするかの正確な予測
  • ウラン圧縮の臨界密度領域(30~60 g/cm³)に関する核物理学的知識

これらの知識の組み合わせは、核兵器設計の経験者、爆発動力学シミュレーションの専門家、リバース・エンジニア、システム・プログラマーが統合された学際的チームが多年にわたって協力したことを意味する。2005年時点でこのような資源を動員できるアクターは極めて限られる。

6.3 コンパイラの足跡と開発文化

SentinelLABSはfast16バイナリの内部に@(#)par.h $Revision: 1.3 $形式の文字列を発見した。この@(#)接頭辞は1970~80年代のUnix SCCS (Source Code Control System) およびRCS (Revision Control System) ツールの特徴である。

2005年のWindowsカーネル・ドライバにこのようなマーカーが現れるのは極めて異例であり、開発者が「Windows専用開発者」ではなく長期キャリアの高セキュリティUnix環境出身のエンジニア — 通常は政府または軍事グレードの作業に関連する開発者でなければ生まれない開発スタイルであったことを示している。

コードは正直である。Unix系の開発者がWindows用のサイバー兵器を開発したのである。

6.4 総合評価

これらの状況を総合すると、fast16のオペレーターは次のような特性を持つアクターと推定される:

  • 国家情報機関、またはそれに準ずる資源と権限を持つ組織
  • NSAとディコンフリクション関係を持つほど「同陣営」または「友好」関係にある
  • 核兵器設計と爆発動力学分野のドメイン専門家を自前で保有するか、または協力可能
  • Unixベースの長期運用開発文化を持つ、軍事/政府セキュリティ環境出身の開発チーム
  • 標的核プログラム(多くの状況証拠からはイランと推定)に対する多年間の継続的監視・アクセス能力

7. 侵害指標 (Indicators of Compromise)

7.1 ファイル・ハッシュ

ファイル名 ハッシュ種別 値
fast16.sys MD5 0ff6abe0252d4f37a196a1231fae5f26
fast16.sys SHA1 92e9dcaf7249110047ef121b7586c81d4b8cb4e5
fast16.sys SHA256 07c69fc33271cf5a2ce03ac1fed7a3b16357aec093c5bf9ef61fbfa4348d0529
connotify.dll MD5 410eddfc19de44249897986ecc8ac449
connotify.dll SHA256 8fcb4d3d4df61719ee3da98241393779290e0efcd88a49e363e2a2dfbc04dae9
svcmgmt.exe MD5 dbe51eabebf9d4ef9581ef99844a2944
svcmgmt.exe SHA256 9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525

7.2 ホスト・ベースの指標

  • デバイス・オブジェクト: \Device\fast16、\??\fast16
  • DeviceType値: 0xA57C
  • サービス名: SvcMgmt
  • インストール・パス: %windir%\system32\svcmgmt.exe、%windir%\system32\drivers\fast16.sys
  • 名前付きパイプ: \\.\pipe\p577
  • PDBパス文字列: C:\buildy\driver\fd\i386\fast16.pdb
  • Prefetcher無効化: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters\EnablePrefetcher = 0
  • SCSIクラス・グループに登録された未署名/未識別のブート開始ファイルシステム・ドライバ

7.3 振る舞いベースの検知

  • Image File Execution OptionsキーのDebugger値を動的に追加・削除・再追加するパターン
  • MPR (Multiple Provider Router) NetworkProviderキーに新規の通知受信DLLを登録
  • WNetAddConnectionコールバックを介した非標準的なDLLインジェクション
  • ローカルのadmin$共有を介したsvcmgmt.exeのコピーおよびリモート・サービス生成の試行
  • Intel C/C++コンパイラでビルドされたLS-DYNA/AUTODYNの.EXEファイルが、ディスク読み取り時に.xdata、.pdataセクションが追加された形でメモリにロードされる現象

7.4 YARAルール (SentinelLABS提供、抜粋)

SentinelLABSはGitHubにapt_fast16_carrier、apt_fast16_driver、clean_fast16_patchtarget、apt_fast16_patchの4つのYARAルールを公開している。

中核シグネチャ:

// Luaバイトコード・マジック(キャリア識別)
$lua_magic = { 1B 4C 75 61 }

// ドライバPDBパス
$pdb1 = "C:\\buildy\\"
$pdb2 = "driver\\fd\\i386\\fast16.pdb"

// fast16 DeviceType (push 0A57Ch)
$devtype = { 68 7C A5 00 00 }

// SCCS/RCSの足跡
$a1 = "@(#)foo.c : "
$a2 = "@(#)par.h : "

8. 防御および対応の推奨事項

8.1 即時点検事項

本報告書は2005年頃のコードベースを扱っており、現代Windows(Vista/7以降)では直接実行できない。しかし2つの観点から点検が必要である:

  • 「考古学的」点検: Windows XPまたはWindows 2000ベースのレガシー・シミュレーション・ワークステーションが隔離環境に残存している場合、本IoCによる点検を推奨する。
  • 現代化された亜種の可能性: Symantecは「現代化されたfast16の存在の有無は不明」と明記している。同じオペレーターが同じ概念(高性能爆薬EOSトリガー、密度閾値の改ざん)を現代のシミュレーション・ソフトウェア(LS-DYNA R12、AUTODYN 2024など)に移植した後続作戦が存在する可能性は排除できない。

8.2 一般的推奨事項 (Symantec)

  • エンドポイントにロードされているドライバのインベントリを定期的に点検し、未署名または未識別のドライバをフラグ
  • アプリケーション・コントロールを展開し、未承認の実行ファイルおよびDLL実行をブロックするよう精緻にチューニング
  • Symantec Endpoint SecurityのAdaptive Protection機能を有効化し、環境で通常使用されないdual-useツールの使用をブロック

8.3 高精度コンピューティング環境向けの特化推奨事項

核、航空宇宙、防衛、先端物理シミュレーションなど高精度コンピューティング・ワークロードを運用する組織に対する追加の推奨事項:

  • 結果の完全性検証:同じシミュレーションをアーキテクチャの異なる別システム(例: x86ワークステーション ↔ ARM/PowerPC HPCノード)で交差実行し、結果の一貫性を検証する。fast16のようなx86特化型の改ざんは他のアーキテクチャでは動作しない。
  • バイナリ完全性の監視: LS-DYNA、AUTODYN、ANSYS、ABAQUSなどシミュレーション実行ファイルのSHA256ハッシュを定期的に検証し、メモリ・ロード後に.xdata、.pdataなどの異常セクションが追加されていないか点検する。
  • Intelコンパイラ・メタデータに基づく標的化への認識: 標的化ロジックがPEヘッダの「Intel」文字列に依拠していることを踏まえ、同様のパターンを使用する追加のサボタージュ・ツールが存在する可能性がある。ビルド・パイプラインでこのメタデータを除去または変更することが回避策の一つになりうる。
  • 「奇妙な結果」報告文化: 研究者がシミュレーション結果の微細な異常を報告できるチャネルを構築する。fast16は結果を完全に破壊せず「もっともらしい虚偽」を生成するため、ドメイン専門家の直観が第一の防御線となる。
  • エア・ギャップ環境における水平移動の遮断: 研究ネットワーク内部のすべてのadmin$共有、SMB自動発見、自動資格情報委任を最小化する。

8.4 政策的示唆

fast16の発見は、サイバー・サボタージュの脅威がこれまで知られていたよりはるかに早く、はるかに深く浸透していたことを示している。日本および韓国の観点から次の政策的示唆が重要である:

  • 国家の中核研究インフラ(韓国のKAIST、KAERI、KARI、ADD、日本のJAEA、JAXA、防衛装備庁等)のシミュレーション環境に対する完全性監査体制の見直しが必要
  • 半導体、ディスプレイ、二次電池など東アジアの戦略産業で使用される高精度シミュレーション・ソフトウェア(TCAD、MEMS、流体力学、構造解析)にも類似のサボタージュ・パラダイムが適用される可能性
  • 「データ窃取」中心の従来のセキュリティ・パラダイムを超え、「結果の改ざん」サボタージュに対する別個の脅威モデリングが必要
  • 研究結果の再現性・交差検証インフラをセキュリティ統制として再認識するアプローチ

9. むすび — 見えない戦争

fast16の発見はサイバー・サボタージュの歴史的叙述を書き換えさせる。2005年頃、Stuxnetが登場する5年前に、既に国家アクターは次のものを保有していた:

  • 組み込みスクリプティング・エンジンによるモジュラー・インプラント・アーキテクチャ
  • カーネル・レベルのファイルシステム・フィルタリングとメモリ・パッチング能力
  • コンパイラ・アーティファクトを介した精密な標的化
  • 最大10種類のソフトウェア・ビルドを追跡しながら多年運用される作戦インフラ
  • 核兵器設計の物理的臨界点を正確に認知するドメイン専門性

Symantecの表現を借りれば、fast16は「Stuxnetと同じ概念的系譜に属する — ベンダーの製品一般ではなく、その製品がシミュレートまたは制御する特定の物理プロセスに合わせて設計されたマルウェア」である。ただし時期的に5年早いという点が決定的である。

SentinelLABSの表現はさらに印象的である — 「fast16は、国家がソフトウェアを通じて物理世界を再構成する能力に関する我々の理解の基準点である。それは新しい形態の統治術の静かな前触れであり、今日に至るまで隠密性において成功してきた。」

ほとんど何のブランディングも残さなかったfast16のオペレーターが残した数少ない人間可読テキストは、皮肉な無味乾燥さで作戦の性格を凝縮している:

* Nothing to see here – carry on *

我々が過去20年間「見られなかったもの」が正確に何であったか、そして今も見えていないものが何であるかという問いが、fast16の残した真の遺産である。

付録A: 参考資料および出典

付録B: アナリスト情報および配布

項目 内容
アナリスト Dennis Kim (HoKwang Kim, 김호광)
所属 CEO, Betalabs Inc. (ソウル) / Independent CTI Analyst / Microsoft Azure MVP
メール [email protected]
GitHub github.com/gameworkerkim
Web3Paper web3paper.net/ko
文書ID CTI-2026-0520-FAST16
TLP CLEAR — 自由配布可能(出典表記推奨)
配布言語 韓国語(原本)、英語、簡体字中国語、日本語

本報告書はSentinelLABSおよびBroadcom Symantecの公開分析を、韓国のサイバー脅威インテリジェンス・コミュニティの観点から統合・再構成したものである。すべての技術的事実は原報告書に基づいており、解釈および政策的示唆は本アナリストの見解である。

文書終わり