- CrowdStrikeと法執行機関が、2003年から活動していたピアツーピア型ボットネットSalityを摘発
- ボットネットはマルウェアとクリップボードハイジャッカーEggJaggerを拡散し、15万ドル相当の暗号資産を窃取
- 作戦ではエンドポイントをシンクホール化しペイロードURLを除去、DOJ、FBI、Europol等と連携
セキュリティ専門企業のCrowdStrikeは、複数の国内外の法執行機関とともに、20年以上にわたり止むことなく活動を続けてきたピアツーピア型ボットネット「Sality」の摘発についにこぎつけました。
Salityが初めて確認されたのは2003年のことです。単一の中央拠点から指示を受け取り、そこに報告を返す典型的なボットネットとは異なり、このボットネットのエンドポイント(その数はおよそ15,000)は互いに通信し合う仕組みを持っており、追跡や駆除を一段と難しくしていました。
長い活動の歴史を通じて、Salityの主な特徴は感染端末に追加のペイロードを展開する点にありました。感染したエンドポイントには、認証情報の窃取、スパム送信、プロキシサービス、分散型サービス拒否(DDoS)攻撃などを助長するさまざまなマルウェアが送り込まれていました。しかし2018年から現在に至るまで、Salityは主に暗号資産窃取に用いられるクリップボードハイジャックツール「EggJagger」の展開に使われていました。
ボットネットのシンクホール化
暗号資産のウォレットアドレスはランダムな文字列が長く連なったもので、そらで覚えておくのはほぼ不可能であり、現実的でもありません。そのため、ユーザーが送金する際には、受取人のウォレットアドレスをコピーして自分のウォレットに貼り付けるのが一般的です。EggJaggerはこの動作を監視しており、ウォレットアドレスらしき文字列がコピーされたことを検知すると、クリップボード内の文字列を差し替えます。そのため被害者が「貼り付け」を実行すると、実際には攻撃者のウォレットアドレスが入力されてしまう仕組みです。
CrowdStrikeによると、このマルウェアだけでSalityの運営者は15万ドル以上を稼いでいたとのことです。
研究者たちは、エンドポイントをシンクホール化することでこのボットネットを摘発しました。まず自分たち自身のデバイスをいくつかボットネットに参加させ、他のボットがそれらのデバイスと通信を試みるたびに、研究者側がそのピアリストを消去することで、実質的に相手を「盲目」の状態にしていったのです。
CrowdStrikeはまた、ボットネットのペイロードをホストしていたURLを閉鎖するため、国際的な法執行機関とも連携しました。同社は「これらのファイルをダウンロードするSalityの能力を遮断することで、有効なURLパックをまだ保持しているボットが、移行期間中に新しいペイロードを取得できないようにしている」と説明しています。
この作戦は、米国司法省(DOJ)、連邦捜査局(FBI)、国防総省監察官室の国防刑事捜査局(DCIS)、およびShadowserver Foundationとの連携のもと実施され、Europol、Eurojust、さらにブルガリア、ハンガリー、ルーマニアの法執行機関の協力も得られました。
CrowdStrikeは「今回の作戦の成功に不可欠な貢献をしてくださった、名前を明かしていない他のパートナーの皆様にも感謝を申し上げます」と締めくくっています。
