20年以上にわたって稼働していたとみられるP2Pボットネットが、米国主導の法執行機関による作戦によって大きな打撃を受けました。
8月31日に実施されたこの作戦では、Sality botnetを標的にブルガリア、ハンガリー、ルーマニア、米国の当局が協力し、Europolに加えて民間パートナーのCrowdStrikeおよびShadowserver Foundationも支援に加わりました。
今回の無力化活動の大部分は「シンクホール化」、すなわち感染マシンからの通信をボットネットのインフラから切り離して別の場所へリダイレクトする処理に重点が置かれました。
これが必要だったのは、P2Pボットネット特有の仕組みによるものです。単一の指令制御(C2)サーバーと通信するのではなく、感染マシン同士が分散的に通信し合うため、インフラの無力化がより困難になるのです。
関連記事: 新種のワーム型マルウェアP2PinfectがRedis導入環境を狙う
Europolによれば、今回の作戦は長年の取り組みの集大成だといいます。同組織は2017年以降、世界各地でSalityに関連するインフラの特定とテイクダウンに向けた取り組みを支援してきました。
「今回の無力化に至るまでの数週間、この協力体制はさらに強化され、各パートナーは毎週の作戦会議を通じて行動を調整してきました」と同組織は述べています。「Europolはブルガリア、ハンガリー、ルーマニアの法執行当局の関与を支援し、各法域にまたがるボットネットインフラへの対策の調整に協力しました」
米国司法省によると、米国と欧州の当局がSalityに関連するドメインの押収に注力する一方で、Shadowserver FoundationはISPやコンピュータセキュリティインシデント対応チーム(CSIRT)と連携し、感染の特定、被害者への通知、復旧支援を行いました。
20年以上続いた稼働
Europolによれば、Salityは20年以上にわたって稼働しており、最盛期には100万台を超える感染マシンが、暗号資産窃取をはじめとする攻撃に用いられる悪性ペイロードの配布活動に、本人たちの知らぬ間に加担させられていたといいます。
さらに、過去20年間でこのインフラに関連付けられたユニークIPアドレスは1,100万件を超えるとしています。
CrowdStrikeは、このボットネットによって運営者が15,000台を超える感染マシンに悪性ペイロードを配布できる状態にあったと指摘しています。その内容は認証情報の窃取、スパム配信、プロキシサービス、ネットワーク侵害、DDoS攻撃など多岐にわたっていたとのことです。
Salityの「信頼の欠陥」を突く
同セキュリティベンダーは、Salityを無力化する作戦が、ネットワーク内の参加者の身元を検証せずに信頼してしまうという仕組みの弱点を突いたものだと説明しています。
「すべてのSalityボットは、既知のスーパーピア(公開されている感染マシンで、P2Pネットワークの中核を担う存在)の有限リストを保持しています」と同社は説明しています。「40分ごとに、保持しているピアがまだオンラインかどうかを確認します。応答があったピアは評価が蓄積される一方、応答しないピアは評価が下がり、最終的にはリストから除外されます」
今回の無力化作戦では、この仕組みを次のように悪用しました。
- ピア確認処理中にプロトコルレベルの操作を行い、正規のピアをリストから排除
- 空になったピアリストにシンクホールのエントリを挿入し、進捗の追跡と被害者への通知を可能に
翻訳元: https://www.infosecurity-magazine.com/news/international-operation-disrupts/
