国際的な法執行機関と民間パートナーが、ピアツーピア(P2P)型ボットネットの妨害・摘発を目的とした共同作戦で、Sality関連マルウェアのインフラを押収しました。
この作戦の一環として、米司法省(DOJ)、FBI、DCISは米国内でSality関連ドメインを押収し、ブルガリア、ハンガリー、ルーマニアの法執行パートナーも欧州でホストされていた追加のSality関連ドメインを押収しました。
CrowdStrikeのCounter Adversary Operationsチームも、国際的な法執行機関や民間業界パートナーと協力し、ピアツーピア方式のシンクホール作戦によってボットネットの制御チャネルを解体し、感染マシンを孤立させました。
Sality botnetは20年以上にわたって活動を続けており、初めて出現した少なくとも2003年以降、15,000台を超えるデバイスに感染してきました。CrowdStrikeによると、Sality はSALTY SPIDERとして追跡している犯罪グループによって制御されており、このグループはロシアのバシコルトスタン共和国を拠点に活動している可能性が高いとしています。
DOJは「Salityに感染した被害者のコンピュータは、ピアツーピア(P2P)型ボットネットの一部を構成していました。これはSalityマルウェアに感染し、Sality運営者によって制御されるコンピュータ(それぞれが『ボット』)のネットワークです」と述べています。
CrowdStrikeによると、今週の摘発作戦の時点でまだ稼働していた2つの独立したSality botnetネットワークは、主にクリップジャッキング攻撃においてEggJaggerマルウェアのペイロードを配布するために使われていました。
同社は「Salityはその歴史を通じて、認証情報窃取、スパム配信、プロキシサービス、ネットワーク侵害、分散型サービス拒否(DDoS)攻撃にまたがる、実に多様なマルウェアファミリーを配布してきました」と述べています。「過去8年間、主なペイロードはEggJaggerでした。これはクリップボードを監視して暗号資産ウォレットアドレスを検知し、運営者が管理するアドレスに密かに置き換えるクリップジャッキングツールです」
このP2P型ボットネットは、通信のバックボーンを形成するSalityの既知のスーパーピア一覧をシンクホール化することで妨害されました。これにより、ファイルパック(ペイロードの直接転送)とURLパック(ペイロードのダウンロード指示)の伝播を阻止し、感染マシンのピアリストを消去しました。
CrowdStrikeはさらに「20年以上にわたる継続的な活動の末、CrowdStrikeは国際的な法執行機関および業界パートナーとともに、Sality botnetに対する妨害作戦を成功させました。現在、このボットネットはもはや運営者の制御下にありません」と付け加えています。
世界各国の法執行機関は、年初以降、国際共同作戦の一環として他にも複数のサイバー犯罪活動を解体してきました。
3月には、米国と欧州の当局が民間パートナーとともに、Linuxマルウェアを基盤とするサイバー犯罪プロキシネットワーク「SocksEscort」を妨害したほか、Aisuru、KimWolf、JackSkid、Mossadの各ボットネットが使用していたコマンド&コントロール(C2)インフラを摘発しました。
さらに最近では、5月にオランダ当局が1,700万台の感染デバイスからなる巨大なボットネットをオフラインにしたほか、FBI主導の作戦により、中国のサイバースパイグループが使用していたハッキングプラットフォーム「QScan」「QTRouter」が妨害されました。
