23年間稼働したSality P2Pボットネットが摘発される

23年にわたって稼働してきたSalityピアツーピア(P2P)ボットネットが、国際的な法執行機関の連携により摘発され、活動を停止させられました。

Salityは2003年に初めて確認されて以来、情報窃取型マルウェア、プロキシサービス、分散型サービス拒否(DDoS)攻撃用ペイロードなど、さまざまなマルウェアファミリーの拡散に利用されてきました。

ここ8年間は主にクリップジャッキングツール「EggJagger」の配布に使われており、このツールはBitcoinおよびEthereumで少なくとも150,000ドル相当を窃取したとみられています。

Salityが活動を維持できた背景には独自のアーキテクチャがありました。ディスクやリムーバブルメディア上の実行ファイルに自身を感染させるファイルインフェクター型の手法で拡散し、コードの更新を受け取るための中央のコマンド&コントロール(C&C)サーバーに依存していなかったのです。

このボットネットが20年以上にわたり存続できた要因となったプロトコルの挙動こそが、皮肉にも摘発につながる弱点となりました。ネットワーク上のピアを認証や身元確認なしに、無条件で信頼していたのです。

Salityのボットは、自身が保持する「スーパーピア」リスト(P2Pネットワークの基盤を形成する感染マシン群)内のピアに定期的にアクセス可能かどうかを確認していました。オンラインだったピアは信頼度が上がる一方、オフラインだったピアは信頼度が下がり、最終的にはリストから除外される仕組みでした。

CrowdStrikeはこの挙動を突き、プロトコルレベルでリストを操作しました。スーパーピアのエントリを取り除くことで感染マシンを段階的に孤立させながら、リストにシンクホールを注入していったのです。

CrowdStrikeによるボットの孤立化とP2Pネットワークのシンクホール化に協調する形で、米国、ブルガリア、ハンガリー、ルーマニアの法執行機関はSalityのペイロードをホストしていたURLを摘発し、感染マシンが新たなペイロードを受け取れないようにしました。

CrowdStrikeはブログ記事の中で、「Salityの背後にいた犯罪者は、感染マシンとの通信手段を失いました。今回の摘発作戦により、ネットワーク上のすべてのピアがコントロールから切り離されています。(中略)現在、Salityに感染したすべてのマシンは、CrowdStrikeが運用するシンクホールにビーコン通信を送るようになっています」と述べています。

今回の摘発活動の一環として、The Shadowserver Foundationは各国のISPやCSIRTと連携し、ボットネットの被害者の特定と感染端末のクリーンアップを進めています。