政府と業界が連携、長期稼働のSalityボットネットを摘発

米国の法執行機関とサイバーセキュリティ企業CrowdStrikeは月曜日、23年にわたって稼働してきたロシア拠点のボットネットを摘発しました。

司法省、FBI、国防犯罪捜査局(DCIS)の当局はSalityボットネットに属する米国内のドメイン名を押収し、CrowdStrikeのアナリストは各機関と協力して感染したコンピュータをボットネットから切り離す作業を行いました。ブルガリア、ハンガリー、ルーマニアの捜査当局も、それぞれの管轄区域内でSalityのドメイン名を摘発しました。

2003年以降、Salityはスパムキャンペーン、認証情報窃取、分散型サービス拒否(DDoS)攻撃、悪意のあるプロキシネットワークの運用に利用されてきました。2018年には、コピーされたウォレットアドレスを攻撃者が管理するアドレスに置き換えることで暗号資産取引を乗っ取るマルウェアの配布も始めています。

CrowdStrikeはボットネット摘発に関する報告書の中で、Salityについて「インターネット上で最も執拗な脅威の一つであり続けてきたが、それはペイロードのためではなく、そのアーキテクチャの堅牢性によるものだ」と述べています。

Salityはピアツーピア型のボットネットであったため、コマンド&コントロールサーバーとのやり取りではなく、感染したマシン同士の直接的な通信を通じて拡散しました。このため、摘発が一層困難になっていました。

ユーロポールは声明の中で、「この分散型の構造により、ネットワークは極めて高い耐性を持ち、解体が困難になる」とし、「インフラの一部を無力化しても、より広範なネットワーク全体の崩壊には必ずしもつながらない」と説明しています。

このボットネットを動かすマルウェアは適応性も高く、侵害されたシステム上の実行ファイルに自らを埋め込み、複数の形態のファイル転送を通じて拡散しました。CrowdStrikeは「これにより、フィッシングキャンペーンやエクスプロイトキット、あるいは運用者側の積極的な関与を必要とせずとも、感染が絶えず再生産され続けた」と述べています。

今回の世界規模の摘発作戦を受け、依然としてSalityマルウェアに感染しているマシンは、CrowdStrikeが管理するコンピュータへ通信を送るようになり、これにより同社は侵害された端末を特定できるようになります。非営利団体のShadowserver Foundationは、この情報を活用してインターネットサービスプロバイダーや各国のサイバーセキュリティ機関が該当組織の所在を特定し、マルウェアの駆除を支援できるようにする予定です。

Salityは、法執行機関と業界が連携して展開してきた世界規模の摘発キャンペーンにおける最新の標的です。これまでの標的にはRaptor Train、Glassworm、Qakbot およびKVが含まれます。3月には、米国がカナダおよびドイツと協力し、合計300万台以上のデバイスを侵害していた4つのIoTボットネットを解体しています。

カリフォルニア州中央地区の連邦検事補を務めるビル・エサイリ氏は声明の中で、今回のSality摘発は「官民が協力することで、善のための強力な力となり得ることを示している」と述べました。