史上最も長寿なボットネットの一つ、Sality がついに解体される

米国と欧州の当局は、インターネット史上最も長期にわたって活動を続けてきたボットネットの一つである「Sality」の解体を発表しました。マルウェアが持つピアツーピア型のアーキテクチャそのものを逆手に取ることで、ロシアの犯行グループとみられる運営者から数千台の感染コンピュータを切り離すことに成功しました。

少なくとも2003年から活動していたこのボットネットは、月曜日に米国、ブルガリア、ハンガリー、ルーマニアの各当局に加え、サイバーセキュリティ企業のCrowdStrike、非営利団体のShadowserver Foundationが関わる作戦により解体されました。

米司法省は火曜日、この作戦を発表し、CrowdStrikeとそのパートナーが「ピアツーピア型のシンクホール作戦」を実行したと評価しました。シンクホールとは、感染したコンピュータを犯罪者側のサーバーから切り離し、サイバーセキュリティの防御側が管理するインフラへと誘導する手法を指します。

しかし、中央のコマンド&コントロールサーバーを中心に構築される通常のボットネットとは異なり、Sality は感染コンピュータ同士が直接通信し合う仕組みに依存していました。この分散型の設計により、ネットワークをそこから切り離したり誘導したりできる単一のサーバーが存在せず、通常のシンクホール手法に対して高い耐性を持っていました。

CrowdStrikeの研究者であるTillmann Werner氏はReutersに対し、今回の解体には大規模なリバースエンジニアリングが必要で、同社がこれまでに手がけた中で最も複雑なボットネット制圧作戦だったと語りました。同社のブログへの投稿によると、最終的に15,000台以上の感染コンピュータとの接続を断ち切ることに成功したとしています。

捜査当局が狙いを定めたのは、Sality が分散型ネットワークを維持するために用いていた仕組みでした。感染した各マシンは、ボット間で情報を仲介する「スーパーピア」と呼ばれる、外部から到達可能なシステムのリストを保持しています。CrowdStrikeによれば、同社の研究者はこのリストを標的にしました。

「スーパーピア」リストに偽の情報を注入することで、同社は感染コンピュータをボットネットの他のメンバー、そして最終的には運営者との接続から切り離すことに成功しました。孤立させられたマシンは、もはやコマンドを受け取ることも、新たなマルウェアをダウンロードすることもできなくなりました。

逮捕者は発表されておらず、当局は運営者の身元を公にしていません。CrowdStrikeは、Sality の背後にいるグループがロシアのバシコルトスタン地方を拠点に活動していると評価しています。

当局はまた、ピアツーピアネットワークの外にあるインフラに対しても対策を講じたと述べています。米国内ではSalityに関連するドメインが押収されたほか、ブルガリア、ハンガリー、ルーマニアの各当局も、感染システムが新たなペイロードの取得に利用しかねない欧州内の追加ドメインを押収しました。

Sality は2003年、実行可能ファイルに感染するウイルスとして始まり、感染したファイルがコンピュータ間でコピーされることで拡散しました。その後、認証情報の窃取、スパム、プロキシサービス、ネットワークへの侵入、サービス拒否攻撃などに使われるマルウェアを配布可能なピアツーピア型ボットネットへと発展しました。

CrowdStrikeによると、過去およそ8年間、Sality は主に「EggJagger」と呼ばれるマルウェアを配布していました。これはコンピュータのクリップボードを監視し、暗号資産ウォレットのアドレスを検知するよう設計されたマルウェアです。アドレスを検知すると、EggJaggerはコピーされたアドレスを攻撃者が管理するアドレスに置き換えることができ、被害者が取引完了前にこのすり替えに気づかなければ、送金先が攻撃者側へとリダイレクトされてしまいます。

CrowdStrikeは、この手口によって運営者が少なくとも15万ドル相当の暗号資産を窃取したと推定しています。同社によれば、この総額は最小限の運営コストで活動する単独の犯罪者を支えるには十分な額だったとしつつも、EggJagger以外のペイロードが追加の収益源になっていた可能性もあると指摘しています。

Shadowserverは、インターネットサービスプロバイダーおよび各国のコンピュータセキュリティ対応チームと連携し、解体時点でもSalityに接続されたままだった15,000台以上の感染システムを特定し、その所有者に注意喚起を行っています。

Shadowserverのディレクターを務めるDavid Watson氏はReutersに対し、Sality は「かなり旧世代的」な手法だとしながらも、侵害されたマシンが攻撃者に組織内部への足がかりを与え続ける可能性があるため、依然として危険なボットネットだったと語りました。

米当局は今回の作戦を、法執行機関とサイバーセキュリティ業界の連携の一例として位置づけ、トランプ政権のサイバー戦略と関連づけました。同戦略の第一の柱は、米国が敵対勢力の行動を変容させることを掲げています。

Sality の運営者は依然として公には特定されておらず、逃走中です。今回の解体作戦が、彼らによるボットネットの再構築や代替インフラの開発を阻止できるかどうかは、現時点では明らかになっていません。