サイバー犯罪
23年間稼働してきたボットネットが停止
人気記事
国際的な法執行機関がCrowdStrikeおよびShadowserver Foundationと連携し、世界中で15,000台を超えるマシンにマルウェアを配布していた、23年間稼働してきたピアツーピア型ボットネット「Sality」を無力化しました。
このボットネットは2003年から活動しており、認証情報の窃取、スパム配信、プロキシサービス、ネットワーク侵害、分散型サービス拒否（DDoS）攻撃など、あらゆる種類の悪意あるコードを被害者に送り込んできました。
過去8年間、Salityの主なペイロードは「EggJagger」というツールでした。これはクリップボードを監視して暗号資産ウォレットのアドレスを検知すると、それを攻撃者が管理するアドレスに密かに書き換えます。被害者がビットコインやイーサリアムのアドレスをコピーして支払いをしようとすると、マルウェアが送金先を犯罪者のウォレットへと差し替えてしまう仕組みです。
CrowdStrikeの推計によると、Salityの運営者はEggJaggerだけで少なくとも150,000ドル相当の暗号資産を窃取していたとみられます。
月曜日、CrowdStrikeのCounter Adversary Operationsチームは国際的な法執行機関や業界パートナーと協力し、ピアツーピア型のシンクホール作戦を実行してSalityを無力化しました。
この作戦により感染マシンが孤立させられ、犯罪者側の運営者がネットワーク上のデバイスと通信する手段が絶たれました。孤立したボットはペイロードのダウンロード指示を受け取ることも、ペイロードを直接転送されることもできなくなり、ボットネットは事実上機能を停止しました。
「実際のところ、この作戦が標的としたのは、各ボットのネットワーク認識の中核をなすデータ構造、すなわちピアリストでした」と、CrowdStrikeのCounter Adversary Operationsチームは今回の摘発に関する技術解説記事で述べています。
Salityの各ボットは、既知の「スーパーピア」――P2Pネットワークの中核を担う、外部から到達可能な感染マシン――のリストを保持しています。ボットは40分ごとにピアがまだオンラインかどうかを確認し、応答のないピアはネットワークから除外されます。
今回の対抗策はこの仕組みを利用し、各ボットのピアリストから正規のスーパーピアを削除して感染マシンを次々と孤立させる一方、専用に構築したシンクホールのエントリをピアリストに挿入していきました。この手法により、警察やサイバー担当者は作戦の進捗を可視化でき、被害者への通知にも役立てることができました。
シンクホール作戦に加え、米司法省、FBI、国防総省監察官室のDefense Criminal Investigative Serviceは、米国内でSality関連のドメインを押収しました。一方、ブルガリア、ハンガリー、ルーマニアの国際的な法執行機関も、欧州内でホストされていたSality関連の追加ドメインに対して措置を講じています。
また、Shadowserver Foundationはインターネットサービスプロバイダーやコンピュータセキュリティインシデント対応チーム（CSIRT）と連携し、感染状況の特定や被害者への通知・復旧支援にあたっています。®
