23年間続いたロシア拠点のボットネット「Sality」、ついに解体

ロシアを拠点とし、23年間にわたる活動で1,100万台以上のデバイスに感染してきたボットネット「Sality」が月曜日、法執行機関、CrowdStrike、Shadowserver Foundationによって解体されました。

CrowdStrikeは火曜日、当局とともにこの摘発を発表し、ボットネットの技術インフラを解体する上で自社が重要な役割を果たし、このマルウェア拡散作戦を復旧不可能な状態に追い込んだと明らかにしました。

このピアツーピア型ボットネットは、中央集権型の構造を持たなかったために極めて長期間にわたり摘発を免れてきた、しぶとい犯罪インフラでした。

Salityは感染したマシン同士がピアツーピアで通信する仕組みを採用しており、中核となるサーバーに依存するボットネットに比べて、システム全体を摘発する取り組みを一段と困難にしていました。

「Salityを強靭にしていたのと同じ特性が、その終焉の条件も作り出した」とCrowdStrikeはブログ投稿で記しています。同社によると、感染マシンのピアリストを標的にし、ネットワークを騙してこれらのデバイスへのアクセスを恒久的に遮断させたといいます。

「オペレーターの視点から見れば、感染マシンは単に姿を消したように見える」とCrowdStrikeは記し、このボットネットはもはやオペレーターの制御下にないと付け加えました。

Salityのドメインは、FBI、米司法省、そしてEuropol、ブルガリア、ハンガリー、ルーマニアの各当局が支援する、世界規模で連携した取り組みによって差し押さえられたと当局は述べています。Shadowserverは、Salityに感染したデバイスを特定し復旧を支援するため、インターネットサービスプロバイダーと連携して作業を進めています。

「サイバー犯罪者、ボットネット、マルウェアは、我が国の安全保障と経済にとって明白かつ現在の脅威である」と、連邦検事筆頭補佐官のBill Essayli氏は声明で述べました。

Europolによると、Sality摘発は2017年にまで遡る、世界の法執行機関による取り組みの集大成だといいます。

CrowdStrikeによれば、Salityのオペレーターは主に金銭的な動機で動いていたとみられますが、同社は3件のDDoS攻撃をSalityによるものと断定しており、オペレーターが個人的あるいは政治的な目的でボットネットを利用することも時折あったことを示唆しています。

このボットネットは、米国内外の被害者に対する暗号資産の窃取やサイバー攻撃を可能にしていたと司法省は述べています。当局はSalityの背後にいる人物やサイバー犯罪集団の名前を明らかにしていません。

「今回の作戦は、長らく摘発への盾と考えられてきたピアツーピア型アーキテクチャも決して無敵ではないことを示している」とCrowdStrikeは記しています。

「何十年も報いを受けずに活動してきたからといって、リスクなしに活動してきたわけではない」と同社は付け加えました。「計算は変わった。我々は必ずあなた方を見つけ出し、そのインフラを解体し、事業を成り立たなくさせるだけの代償を科す」。