CrowdStrike、20年以上稼働し続けたSalityボットネットを解体 | eSecurity Planet

20年以上にわたってオンライン上で活動を続けてきたインターネット史上最も長寿なボットネットの一つが、ついに感染マシンの制御を失いました。

CrowdStrikeによると、同社のCounter Adversary Operationsチームは米国および国際的な法執行機関、業界パートナーと連携し、8月31日にSality P2P（ピアツーピア）ボットネットを解体しました。

この作戦により、容疑者とされる運営者は世界中の15,000台以上の感染システムから事実上切り離されました。

筆者は今週CrowdStrikeのカンファレンスに参加しており、この作戦がどのように進められたかを直接取材する機会を得ました。容疑者とされる運営者に関する詳細情報については、ここでは明かせない部分もあります。

印象的だったのは、これが単なるCrowdStrike単独によるテイクダウンではなかったという点です。

非公開の座談会では、CrowdStrikeのCounter Adversary Operations担当シニアバイスプレジデントであるアダム・マイヤーズ氏と、フィールドCTOのクリスチャン・ロドリゲス氏が、今回の解体作戦を支えたコミュニティの取り組みについて繰り返し強調していました。

20年以上生き延びてきたインフラを解体するには、技術的な調査、業界の協力、そして複数の法執行機関にまたがる連携が必要でした。

Salityは従来型の指令サーバーなしで生き延びてきた

2003年に初めて確認されたSalityは、ファイル感染型マルウェアから、防御側が通常標的とする中央集権的な指令制御（C2）インフラを持たないよう設計されたP2Pボットネットへと進化しました。

感染システム同士は直接通信を行っていました。Salityは実行ファイルに自身を付着させ、ネットワーク共有やリムーバブルドライブ、ファイル共有システムを通じて拡散していました。

こうした特性の組み合わせにより、このボットネットは異例なほど排除が困難なものとなっていました。

Salityの主な機能は、追加のマルウェアを配信することでした。最近では、運営者は主にEggJaggerを配布していました。これはクリップボードを監視して暗号資産ウォレットのアドレスを検知し、攻撃者が管理するアドレスに置き換えるものです。

CrowdStrikeの推計では、運営者はEggJaggerだけで少なくとも1,210万ロシアルーブル、日本円で約1,500万円（約15万ドル）相当の暗号資産を窃取していたとみられます。

このボットネットは、分散型サービス拒否（DDoS）攻撃にも時折利用されていました。

あるキャンペーンでは、ロシアがウクライナへの本格侵攻を開始した翌日にあたる2022年2月25日に、ウクライナのフォーラムが標的となりました。他の攻撃では、アラビア語圏の金融フォーラムやロシアの暗号資産取引所も標的にされています。

CrowdStrikeはSalityのP2P設計を逆手に取った

Salityの生存を支えてきたアーキテクチャこそが、最終的に防御側に解体の糸口を与えることになりました。

Salityのボットは、ネットワークの中核を担う信頼済みの「スーパーピア」のリストを保持していました。しかし、このプロトコルはピアの認証を行っていませんでした。つまり、正しいP2Pハンドシェイクを完了できる公開到達可能なシステムであれば、事実上ネットワークに参加できてしまう状態だったのです。

CrowdStrikeとそのパートナーは、この弱点をピアリストの操作によって突きました。

この作戦では、感染システムから正規のスーパーピアを段階的に排除し、防御側が管理するシンクホールインフラに置き換えていきました。

ファイアウォールやネットワークアドレス変換（NAT）の内側にあるマシンも、通常のメンテナンスサイクルの中でこれらのシンクホールに接続することで孤立化させられます。

運営者側から見れば、感染マシンは事実上消えてしまうことになります。

CrowdStrikeはまた、国際的な法執行機関と連携してSalityのペイロードをホストするURLのテイクダウンにも取り組み、解体作戦中にボットネットがマルウェアを配信する能力をさらに制限しました。

この作戦には米司法省、FBI、国防刑事捜査局（Defense Criminal Investigative Service）、Shadowserver財団が関与し、さらにユーロポール、ユーロジャスト、ブルガリア・ハンガリー・ルーマニアの法執行機関も支援にあたりました。

CrowdStrikeによれば、名前を明かしていない他のパートナーも協力したとのことです。

解体は感染システムの浄化を意味しない

セキュリティチームにとって重要なのは、Salityを「解体」することと「除去」することの違いです。

今回の作戦により、容疑者とされる運営者がボットネットを通じて新たな指令を出すことはできなくなりましたが、すでに感染システム上で稼働しているマルウェア自体が自動的に消えるわけではありません。

CrowdStrikeによると、感染マシンは現在も同社のシンクホールインフラにビーコン通信を送り続けており、これが防御側にとって侵害システムを特定するもう一つの手がかりとなっています。

組織は、CrowdStrikeが記事内で公開した侵害指標（IOC）と調査結果を活用し、ネットワークおよびエンドポイントのテレメトリを調査して感染の有無を確認すべきです。

感染が確認されたシステムについては、引き続き調査と修復が必要です。

今週CrowdStrikeで得た最大の教訓は、これほどの規模のサイバー犯罪を解体するには、単独では成し得ないということです。Salityは技術、セキュリティツール、そして脅威の状況が変化する中でも20年以上生き延びてきました。

そのインフラを打ち破るには、防御側、研究者、業界パートナー、そして法執行機関が同じ標的に向けて協力する必要がありました。

この考え方は、今週のCrowdStrikeカンファレンスでの取材の中で何度も話題に上りました。

同チームはたびたび、CrowdStrikeという社名に含まれる「Crowd（群衆）」という言葉が、より広いセキュリティコミュニティを象徴していると指摘し、協力こそが脅威アクターに立ち向かう上で防御側が持つ強みの一つだと主張していました。

Salityはまさに、それを体現する好例と言えるでしょう。

ピアの結束によって成り立っていたボットネットが、最終的には別のピアのネットワークによって打ち倒されたという事実には、ある種の皮肉が感じられます。