15,000台を超える世界中のマシンに感染し、23年間にわたって稼働してきたピアツーピア(P2P)ボットネット「Sality」が、国際的な法執行機関がCrowdStrikeおよびShadowserver Foundationと協力して実施した合同作戦により摘発されました。
今回の作戦により、運営者が管理下に置いていた感染マシンとの接続はすべて遮断されました。
Salityは2003年、実行ファイルに感染するタイプのウイルスとして初めて登場しました。感染したファイルがネットワーク共有やUSBドライブにコピーされたり、ファイル共有ネットワークで共有されたりするたびに拡散していく仕組みです。運営者は時間をかけてこれを2つの独立したピアツーピアネットワークへと発展させました。内部的にはバージョン3およびバージョン4と呼ばれ、コードは共通していたものの、互換性のないプロトコルと異なる暗号鍵で稼働していました。
「Salityはその歴史を通じて、認証情報の窃取、スパム配信、プロキシサービス、ネットワーク侵害、分散型サービス拒否(DDoS)攻撃など、多岐にわたるマルウェアファミリーを配布してきました」と、CrowdStrikeは今回の摘発に関する技術報告書で述べています。
過去8年間、Salityが配信してきた主なペイロードは、EggJaggerと呼ばれるクリップボードハイジャッカーでした。感染したマシン上でクリップボードにコピーされた暗号資産ウォレットのアドレスらしきものを監視し、何の警告も表示することなく、運営者が管理するアドレスへとすり替えます。
「被害者がビットコインやイーサリアムのアドレスを支払いのためにコピーすると、資金は別の宛先へとリダイレクトされます」と研究者らは指摘しています。
CrowdStrikeの推計によれば、運営者はこの手口だけで少なくとも15万ドルを稼いだとみられています。
Salityは金銭目的だけに使われていたわけではありません。CrowdStrikeは、このボットネットを通じて過去に実行された3件の分散型サービス拒否攻撃キャンペーンを確認しています。その一つは、ロシアによる侵攻開始の翌日にあたる2022年2月25日にウクライナのウェブフォーラムを標的としたもので、もう一つは2023年、取引をめぐる個人的なトラブルに端を発したとみられるロシアの暗号資産取引所への攻撃でした。
Salityのシンクホール作戦、ボットネットの中枢を標的に
今回の摘発の中心となったのは、CrowdStrikeのCounter Adversary Operationsチームが月曜日に実施したシンクホール作戦です。国際的な法執行機関や業界パートナーと連携し、Salityのピアツーピアネットワークを機能不全に陥れました。
「実際には、この作戦はすべてのボットのネットワーク認識の中核をなすデータ構造、すなわちピアリストを標的としました」とCrowdStrikeは説明しています。
すべてのSalityボットは「スーパーピア」と呼ばれるリストを保持しています。これは外部から到達可能な感染マシンのことで、P2Pネットワークの中枢を形成しています。ボットは40分ごとに、保存済みのピアがまだオンラインかどうかを確認します。研究者らはこの仕組みを逆手に取り、正規のスーパーピアを無効化し、防御側が管理するシンクホールに置き換えました。
正規のピアから切り離されたボットは、それ以降、運営者から新たな指令や悪意あるペイロードを受け取ることができなくなりました。
感染マシンの大半はファイアウォールやNATの背後にあり、直接アクセスすることができませんでした。そのため研究者らは、通常のメンテナンスサイクルの中でボットがシンクホールへ接続してくるのを待ちました。接続が確認でき次第、正規のピア情報を消去し、運営者のネットワークから完全に切り離すことができました。
「今回の作戦は、これまで摘発への耐性が高いとされてきたP2Pアーキテクチャも決して無敵ではないことを示しています。十分な技術投資と、プロトコルの挙動に対する正確な理解、そして法執行機関や業界パートナーとの連携があれば、極めて強靭な犯罪インフラであっても解体できるのです」とCrowdStrikeは付け加えています。
米国、ブルガリア、ハンガリー、ルーマニアの捜査当局も、Salityのペイロードファイルをホストしていたドメインを押収しました。これにより、旧来の指令をまだ保持しているボットが移行期間中に新たなマルウェアを取得しうる残された経路も塞がれました。
Shadowserver Foundationは現在、インターネットサービスプロバイダーや各国のコンピュータセキュリティ対応チームと連携し、感染デバイスの特定とその所有者への通知を進めています。
「サイバー犯罪者、ボットネット、マルウェアは、わが国の安全保障と経済にとって明白かつ現在の脅威です」と、連邦検事局のBill Essayli筆頭首席次席検事は述べています。「Salityボットネットの摘発に成功した今回の取り組みは、官民が協力すれば大きな力を発揮できることを示しています」
翻訳元: https://www.helpnetsecurity.com/2026/09/02/sality-botnet-disruption-crowdstrike-law-enforcement/
