複数回の摘発を経てもなお、ボットネットは拡大を続ける

住宅用プロキシネットワークを利用したボットネットが急増しており、あらゆる種類のサイバー犯罪者が一見正当なトラフィックに紛れ込むことで検出を逃れられるようになっていると、Lumen Technologyの Black Lotus Labs が金曜日に発表したレポートで明らかにしました。

Lumenが観測しているボットネットの世界的な規模は、現在被害者IPアドレス数にして約6,000万件に迫っていると、Black Lotus Labsのシニアリード情報セキュリティエンジニアであるChris Formosa氏はCyberScoopに語りました。これら侵害を受けたIPのうちおよそ4分の1は米国内に存在しており、実際に感染しているデバイスの数はさらに多いとみられます。というのも、Lumenの可視範囲外にもネットワークが存在するうえ、同一IP上で複数のデバイスが気づかぬうちに悪意あるプロキシネットワークを稼働させているケースが多いためです。

Lumenによれば、超大規模なボットネットも勢いを増しており、平均して10個の異なるボットネットが、それぞれ日々約100万人のアクティブな被害者からなる集団を制御しているといいます。

「これらのボットネットが被害者を増やし続けている唯一の理由は、明らかに需要が存在するからです。犯罪行為以外に、誰が定期的に数百万件のIPへのアクセスを求めるというのでしょうか」とFormosa氏は述べています。

このボットネットに対する需要が、成長、転売、協力関係、そして大規模な摘発を受けた後の急速な回復といった機会を後押ししています。

1月に協調的な攻撃によってインフラを摘発された当時、稼働していた住宅用プロキシネットワークの中でも最大級だったIPIDEAは、わずか数時間で半分近い勢力まで回復し、その後まもなく摘発前の規模を上回り、現在は約1,000万件のIPからなるボットネット集団を有するに至ったと研究者らは述べています。

「彼らの再構築ぶりは目を見張るものでした。摘発から回復し始めたときの様子はまさにそうでした」と、Black Lotus Labsの情報セキュリティエンジニアであるRyan English氏はCyberScoopに語りました。「ボットネットの回復力がどれほど速いかを見てきた中でも、彼らのケースは驚くべきものでした。これまで様々なボットネットの再構築を目にしてきましたが、あれほどの速さで成し遂げた例は見たことがありません」

一方でボットネットは拡大を続けています。サイバー犯罪者がその隠れ蓑としての効果を求めていることに加え、安価で防御の甘いデバイスが市場に増え続けていること、そしてベンダーが古くなっても依然使用可能な製品へのセキュリティアップデート提供を打ち切っていることが背景にあります。

「プロキシを狙う攻撃者にとって利用可能な母集団は毎年増加しており、今後も増え続けるでしょう」とEnglish氏は述べ、現在10億台を超えるデバイスが脆弱な状態にあり、知らぬ間にボットネットに取り込まれる可能性があると付け加えました。

防御側が直面する課題は非対称なものです。摘発や差し押さえは比較的頻繁に行われているものの、ボットネットの運用者たちは断ち切るのが難しい経路を持つグローバルなサプライチェーンを形成しています。

「複数の住宅用プロキシサービスが協力し合い、インターネット上でこれまで見られた中で最大の協調ネットワークとも言えるものを形成していることを、我々は確認しています」と研究者らはレポートに記しています。

Black Lotus Labsは現在、30を超える異なる悪意あるプロキシボットネットのクラスターを追跡しており、そのほとんどが日常的に10万人を超える被害者を抱えています。

「この分野に存在する様々なボットネットへの理解と、複数回の摘発対応で得た経験から、我々は非常に重要な結論に達しました。単独の悪意あるプロキシプロバイダーやそのボットネットだけを摘発しても、その効果は短命に終わる可能性が高いということです」と研究者らは記しています。

「近年、悪意あるプロキシ環境は事実上、現在インターネット上で稼働している中で最大の集合的ボットネットを作り上げており、必要な場所へ数時間以内に数百万件のIPを移動させる能力を有しています」と彼らは付け加えました。「悪意あるプロキシの実態が、民間業界と法執行機関の双方の側で適切に対処され規制されない限り、この問題はDDoSボットネットの実態と並んで拡大を続け、長期的にはより大きな問題となる可能性が高いでしょう」