米司法省は、米国主導で、ブルガリア、ハンガリー、ルーマニアが関与する越境的な捜査・執行作戦により、長年稼働していた Sality ボットネットの活動が成功裏に妨害されたと発表しました。作戦には米司法省、連邦捜査局（FBI）、国防刑事捜査局（DCIS）が参加し、Europol、Eurojust、CrowdStrike、Shadowserver Foundation などの機関の支援を受けました。
ファイル感染型のウイルスから P2P ネットワークへ進化
Sality は最早 2003 年に出現し、当初は Windows 実行ファイルを感染させることができるマルウェアでした。その後、段階的に非中央集権型のピアツーピア（P2P）ボットネットへと発展しました。ウイルスはコンピューター内の実行ファイルに付着し、共有フォルダー、USB ストレージデバイス、ファイル共有ネットワークを通じて感染をさらに広げます。
中央のコマンドサーバーに依存する従来のボットネットとは異なり、Sality に感染した端末は直接互いにノードや命令を交換できる。サーバーやコンピュータの一部が停止されても、他のノードがネットワークの運用を維持できるため、Sality は長年にわたり通常のサーバー差し押さえだけでは完全に打撃を与えることが難しかった。
Europol によると、Sality が全盛期には操作者は最大で約100万台の感染コンピュータにアクセスできた。今回の措置時点までに、歴年でその基盤インフラに関連する独立した IP アドレスは 1,100 万件を超えていた。さらに CrowdStrike は、措置前の時点でも 1万5千台を超える感染コンピュータが Sality の送信する悪意のあるペイロードを受信できたと推定している。
P2P アーキテクチャを逆利用して操作者の制御を断つ
今回の措置の核心は、P2P の「シンクホール」すなわち sinkholing と、ノードリスト操作技術である。Sality のコンピュータは「スーパーノード」のリストを保存しており、およそ40分ごとに関連ノードがまだオンラインかどうかを確認する。
CrowdStrike の研究者は、Sality ノードに認証がないという弱点を利用し、感染端末のリストから既存の悪意あるノードを段階的に排除したうえで、セキュリティチームが管理するシンクホールノードを挿入した。その結果、感染したコンピュータは次第に実際の操作者との連絡を失い、新しい指令の取得や他のマルウェアのダウンロードができなくなった。
米国当局は同時に国内の Sality 関連ドメインを押収し、ブルガリア、ハンガリー、ルーマニアの法執行機関も欧州にある関連ドメインを処理し、Sality が悪意のあるペイロードをダウンロードするために用いていた代替経路をさらに封じた。
クリップボード・ハイジャックの手口で暗号資産を盗んだことがある
Sality は本来、他のマルウェアを配布するプラットフォームとして主に利用されており、過去にはパスワード窃取ツール、スパム送信プログラム、プロキシサーバーソフトウェア、ネットワーク侵入ツール、分散型サービス拒否攻撃プログラムの拡散に使われてきた。
CrowdStrike は、過去約8年間、Sality は主に EggJagger という名の「クリップボード・ハイジャック」プログラムを配布していたと述べた。ユーザーが Bitcoin や Ethereum のウォレットアドレスをコピーすると、EggJagger はそのアドレスを密かに攻撃者が管理するアドレスに置き換え、暗号資産を犯罪者のウォレットへ送金させる。CrowdStrike の推計では、操作者はこの手口だけで少なくとも約15万ドル相当の暗号資産を盗み出しており、他の悪意のあるペイロードによる収益は含まれていない。
制御ネットワークが断たれても、ウイルスが完全に消えたことにはならない
CrowdStrike は、Sality は現在すでに元の操作者によって制御されていないとしつつ、この措置で阻止できるのは感染端末が新たな悪意のあるペイロードを受け取ることだけであり、端末内に残る Sality プログラムやそれ以前にダウンロードされた他のマルウェアは引き続き動作する可能性があると強調した。
Shadowserver Foundation は現在、ネットワークサービスプロバイダーおよび各国のコンピュータセキュリティ事故対応チームと連携し、感染元を特定して被害者に通知している。まだ逮捕者は出ておらず、操作者が新たな悪意のあるネットワークを構築しようとする可能性もあるため、今回の措置は Sality の既存の制御構造を無力化することには成功したものの、すべての感染とその後の脅威を排除したわけではないとみなすべきである。
「23年間稼働した Sality ボットネットが国際共同で妨害され、1万5千台超の感染端末が操作者との接続を失う」という記事は、最初に（区塊客）で公開された。