ボットネットSalityへの多国間の妨害作戦
- タグ
- 国外
米国司法省の2026年9月1日の発表によると、米国・ブルガリア・ハンガリー・ルーマニアでの措置を含む多国間の作戦で、P2P型のボットネットSalityを妨害し、その基盤を停止させた［1］。作戦に加わったCrowdStrikeは、ボットネットはもはや運営者の管理下に無いが、感染した機器にすでに入っているマルウェアは動き続けており、除去が要ると説明した［3］。
報告の内容
CrowdStrikeの8月31日のブログによると、Salityはファイル感染型のマルウェアで、2003年に初めて観測され、20年以上の間に従来型のボットネットからP2Pボットネットへ発展した［3］。実行ファイルに取り付いてネットワーク共有・リムーバブルドライブ・ファイル共有で広がるため、運営者が何もしなくても感染が再生し続けた［3］。同社が公開した検出用のYARAルールのメタデータでは、攻撃者の名は「SALTY SPIDER」である［3］。
同じ攻撃者が運営するバージョン3とバージョン4の2つのP2Pネットワークが、ブログを書いた週まで活動していた［3］。2つは同じコードベースを使いながら、互換性の無いプロトコルの版と別の暗号鍵を使っていた［3］。
司法省は、Salityのボットネットが2003年から侵害した機器にマルウェアを入れ、米国内外の被害者に対する暗号資産の窃取とサイバー攻撃を可能にしてきたと説明した［1］。P2Pボットネットは、ボットどうしが直接通信して命令を共有する分散型のネットワークである［1］。感染したコンピューターの所有者は、通常、自分の機器がSalityのボットとして流用されていることに気付いていなかった［1］。Europolの発表では、中央のC2サーバーに頼らないこの構造は耐性が高く、基盤の一部を妨害しても全体の停止に至るとは限らない［2］。
ペイロードと収益
CrowdStrikeの報告では、Salityの技術的な機能は、感染した機器に追加のペイロードを送り込むことだけだった［3］。これまでに、認証情報の窃取、スパムの配信、プロキシ、ネットワークの悪用、DDoS攻撃にわたる多様なマルウェアを配布した［3］。過去8年の主なペイロードはEggJaggerで、クリップボードの暗号資産のウォレットアドレスを監視し、運営者のアドレスに置き換えるクリップジャッキングの道具である［3］。
CrowdStrikeは、運営者がこの手口で少なくとも1,210万ルーブル（約15万米ドル）の暗号資産を盗んだと推計した［3］。推計はEggJaggerのペイロードだけを数えたもので、ほかのペイロードは別の収入源になっている［3］。使われていない保有分の評価額は、2025年1月に約1億4,700万ルーブルで最高になった［3］。
同社の見方では、Salityの活動は主に金銭目的だったが、3件のDDoSは、運営者が個人的・政治的な目的でボットネットを短時間で兵器化する意思があったことを示す［3］。3件の標的は、2016年4月のアラビア語の金融フォーラムのサイト、ロシアのウクライナへの全面侵攻の翌日の2022年2月25日に狙ったウクライナのフォーラム、2023年9月のロシアの暗号資産交換サイトAvanChangeである［3］。
妨害の手法
CrowdStrikeの説明では、Salityはファイル感染で広がるため、更新版を出すと既存の株と競合し、プロトコルを修正できない［3］。作戦はピアリストの操作を使い、2014年のGameOver Zeusと2017年のKelihosの妨害と同じ種類の手法をSalityのプロトコルに合わせたものだった［3］。ボットのプロトコルの挙動は20年前と同じで、公開到達可能でP2Pのハンドシェイクに正しく応じる機器を正当なピアとして受け入れ、認証も暗号的な身元確認も許可リストも無かった［3］。
同社は、各ボットがスーパーピア（公開到達可能な感染機器）の有限のリストを持ち、40分ごとに保存したピアが稼働しているかを確かめ、応答しないピアは評価を失って除かれると説明した［3］。妨害はこの保守の周期を使い、正当なスーパーピアの項目を無効にしてボットを運営者のネットワークから切り離し、空いたピアリストに専用のシンクホールを差し込んだ［3］。感染の大半はファイアウォールやNATの内側にあって直接接続できず、それらの機器は通常の保守の周期でシンクホールに接続したときにピアリストを消され、恒久的に切り離される［3］。運営者は感染した機器と通信できなくなり、ボットはURLパック（ペイロードのダウンロード指示）もファイルパック（ペイロードの直接転送）も受け取れないため、新たな命令を実行できない［3］。
時系列
根拠と範囲
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 最盛期に運営者がアクセスできた感染機器 | 最大100万台 | Europol | ［2］ |
| これまでに基盤と結び付けられた一意のIPアドレス | 1,100万を超える〔注2〕 | Europol | ［2］ |
| 運営者がペイロードを配布できた世界の感染機器 | 33,000台を超える〔注1〕 | CrowdStrike | ［3］ |
CrowdStrikeは、Salityに感染した機器はすべて同社が運用するシンクホールに通信しており、同社が「lighthouse」と呼ぶIPアドレス（188.166.101[.]148）へのUDP通信は感染を示すと説明した［3］。
The Recordは、CrowdStrikeがSalityの背後のグループをロシアのバシコルトスタン地域から活動していると評価していると報じた［5］。
関係者の対応
司法省は、米国内で司法省・FBI・国防総省監察総監室の国防犯罪捜査局（DCIS）がSalityに関連するドメインを差し押さえたと説明した［1］。ブルガリア・ハンガリー・ルーマニアの捜査機関は、欧州でホストされている関連の追加のドメインに措置を取った［1］。The Recordは、欧州のドメインは感染した機器が新たなペイロードを取りに行くのに使いうるものだったと報じた［5］。
ハンガリー警察の9月5日の発表では、同国からは即応警察の国家捜査局（NNI）のサイバー犯罪対策局が加わり、その措置はSalityの基盤の分断とボットネットの無力化に寄与した［4］。参加した組織は準備の段階で、Salityの稼働に要る基盤を共同で洗い出し、情報を共有し、各国で行う措置を調整した［4］。
CrowdStrikeは、P2Pシンクホールと並行して国際的な捜査機関と調整し、Salityのペイロードを置いていたURLを停止させたと説明した［3］。SecurityWeekは、米国・ブルガリア・ハンガリー・ルーマニアの捜査機関が、CrowdStrikeのボットの隔離とP2Pのシンクホールに合わせてURLを停止させたと報じた［6］。
Europolの発表では、同機構は2017年から、ネットワークの各部分が各国で見つかるたびに、基盤を特定して停止させる各国の捜査機関の取り組みを支援してきた［2］。今回の妨害に先立つ数週間は協力が強まり、参加組織は毎週の作戦の電話会議を開いて行動を調整した［2］。
司法省の発表によると、Shadowserver FoundationはインターネットサービスプロバイダーやCSIRTと協力し、感染の特定と被害者への通知・修復を支援している［1］。米国側の取り組みは国家安全保障部の連邦検事補、FBIロサンゼルス支局、DCISが主導し、司法省のOffice of International Affairsも支援した［1］。
| 区分 | 機関・組織 | 資料 |
|---|---|---|
| ブルガリア | General Directorate Combating Organized Crime | ［1］ |
| ハンガリー | National Bureau of Investigation Cybercrime Department | ［1］ |
| ルーマニア | Romanian Police / Directorate for Combating Organized Crime / Central Cybercrime Unit | ［1］ |
| 欧州の機関 | Eurojust、Europol | ［1］ |
| 民間 | CrowdStrike、Shadowserver Foundation | ［1］ |
The Recordは9月2日の記事で、CrowdStrikeの研究者がReutersに対し、妨害には大規模なリバースエンジニアリングが要り、同社がこれまでに行ったボットネットの乗っ取りで最も複雑だったと述べたと報じた［5］。同じ記事によると、Shadowserverの幹部はReutersに、Salityは「quite old-school」だが、侵害された機器が組織の内部への足掛かりになりうるため危険が残ると述べた［5］。
未公表の事項
- Salityの運営者の身元と逮捕・起訴の有無（The Recordは、逮捕は発表されず、当局は運営者を公に特定していないと報じた［5］）
- 米国内と欧州で措置を取ったドメインの数と名前
- P2Pシンクホールで感染機器のピアリストを書き換えたことの法的な根拠
- 国別の感染数と日本国内の感染数
- Shadowserver Foundationによる被害者への通知の開始日
注
出典
公的機関
- ［1］U.S. Department of Justice, U.S. Attorney's Office, Central District of California『Sality Malware Disrupted in International Cyber Takedown』（2026年9月1日公開）
- ［2］Europol『Global public-private operation disrupts Sality botnet active for two decades』（2026年9月2日公開、2026年9月4日更新）
- ［4］Rendőrség『Kártékony programokat terjesztő hálózatot bénítottak meg』（2026年9月5日公開）
調査・観測
- ［3］CrowdStrike, Inc.『Peer Pressure: Inside the Sality Botnet Disruption Operation』（2026年8月31日公開、2026年10月29日更新）
報道機関
- ［5］Recorded Future News『Sality, one of the longest-running botnets, finally gets disrupted』（2026年9月2日公開）
- ［6］Wired Business Media『23-Year-Old Sality P2P Botnet Disrupted』（2026年9月2日公開）
- ［7］Scoop News Group『Dogged Russia-based botnet dismantled after 23-year run』（2026年9月2日公開）
- ［8］The Hacker News『Authorities Turn Sality's P2P Network Against Itself, Cutting Off New Malware Payloads』（2026年9月2日公開）
更新記録
- 2026年9月5日：公開した。
- 2026年10月29日：CrowdStrikeのブログの10月29日の更新版（出典3）で示された感染台数を「根拠と範囲」の表1に改め、公開直後の報道が伝えた値との違いを注に加えた。