20年超稼働のP2Pボットネット「Sality」が壊滅、国際共同作戦が構造的欠陥を突き通信遮断

要点

• 米司法省や欧州各国の法執行機関、CrowdStrikeなどが連携し、2003年から活動していたP2P型ボットネット「Sality」を壊滅させた。

• 認証機構を持たないP2P仕様を逆手に取り、ピアリストの操作とシンクホール化によって感染端末と攻撃者の通信を遮断した。

• SalityはWindows実行ファイルに感染して自己増殖し、暗号資産の窃取やDDoS攻撃、産業制御システムへの侵入などに悪用されていた。

• C2サーバーからのアップデート機能を持たないファイル感染型であったため、プロトコルの欠陥を修正できず無力化に至った。

• 米司法省（DoJ）は、2003年から20年以上にわたり活動を続けていたピア・ツー・ピア（P2P）型ボットネット「Sality」を無力化したと発表した。このテイクダウン作戦は2026年8月31日、米国、ブルガリア、ハンガリー、ルーマニアの法執行機関に加え、民間パートナーである米CrowdStrikeおよびShadowserver Foundationの協力のもとで実施された。

• 作戦では、SalityのP2Pネットワーク構造を逆手に取ったシンクホール（悪意ある通信を安全なサーバーへ誘導・遮断する手法）作戦が展開され、米国と欧州で関連ドメインの差し押さえが行われた。米検察当局は、サイバー犯罪やボットネットが安全保障と経済にとって明白な脅威であるとした上で、官民連携が大きな成果を上げた事例であると述べている。

20年以上にわたり自己増殖を続けた長寿マルウェア

Salityは2003年に初めて存在が確認された老舗マルウェアで、Windowsの実行ファイル（.exeなど）に自身を寄生・改ざんさせて増殖する特徴を持つ。セキュリティ業界では「Salty Spider」「Kukacka」「KuKu」「SalLoad」などの名称でも追跡されており、ロシアのバシコルトスタン共和国を拠点とする脅威アクターによって運用されているとみられている。

一般的なマルウェアと異なり、Salityは感染したネットワーク共有、USBメモリ、ファイル共有サービス、改ざんされたWebサイト、メールの添付ファイルなど、多様な経路を通じて自己増殖する機能を備えていた。攻撃者が個別に操作を行わなくても自動的に感染を広げ、新たな感染環境を再生産し続ける自律的なボットネット（不正に遠隔操作される端末群）を形成していたという。

また、従来の司令塔であるC2（コマンド＆コントロール）サーバーの閉鎖によるテイクダウンを回避するため、端末同士が直接通信しあうP2P通信機能を備えた複数の亜種が長年にわたり開発されていた。CrowdStrikeによると、無力化される直前まで世界中で1万5000台以上の端末が感染しており、互いにプロトコルと暗号鍵の互換性を持たない「バージョン3」と「バージョン4」という2つの独立したP2Pネットワークが並行して稼働していたことが明らかになっている。

暗号資産の窃取から標的型DDoS攻撃、産業システムまで及ぶ被害

Salityは認証情報の窃盗、スパムメールの大量送信、不正な通信中継（プロキシ）、ネットワーク侵入、DDoS（分散型サービス妨害）攻撃など、さまざまな不正モジュールを二次感染端末へ送り込むプラットフォームとして機能していた。

代表的なペイロード（送り込まれる不正プログラム）の一つが、「EggJagger」と呼ばれるクリッパー（クリップボード監視ツール）である。これは端末のクリップボードを常時監視し、暗号資産（仮想通貨）の送金先ウォレットアドレスがコピーされた瞬間に攻撃者のアドレスへ書き換える手口を用いる。この手口により、攻撃者は少なくとも15万ドル（約2200万円）相当を不正に得たと推定されている。

Salityの運用は主に金銭目的であったものの、特定の標的に対するDDoS攻撃にも転用されていた。過去には以下のような攻撃が確認されている。

• 2016年4月: アラブ圏の金融フォーラム（forex2030[.]com）への攻撃
• 2022年2月: ロシアによるウクライナ侵攻の翌日に発生したウクライナのフォーラム（kharkovforum[.]com）への攻撃
• 2023年9月: 暗号資産両替サービス「AvanChange」への攻撃

さらに2022年7月には、産業用制御システム（OT）のセキュリティ企業Dragosにより、産業エンジニアや運用担当者を狙った攻撃が報告されている。PLC（工場の製造ラインなどを自動制御する機器）の制御を奪うため、パスワード解析ツールを装ってSalityを感染させ、ボットネットの一部として取り込む手口が確認されていた。

堅牢なはずのP2P構造を突かれた「ピアリスト操作」による瓦解

今回の壊滅作戦では、Salityが長年生き残るために採用してきたP2Pアーキテクチャそのものが崩壊の引き金となった。

Salityのボットは、P2Pネットワークに参加するノード（端末）の身元を検証せず、外部から通信可能でハンドシェイク手順に正しく応答する端末であれば、無条件に正規の参加者として受け入れる仕様になっていた。ネットワークへの参加に認証機構や暗号化されたID検証、許可リスト（ホワイトリスト）が存在しなかったため、外部の調査機関や法執行機関であっても、感染端末と区別されることなくネットワークにフル参加することが可能であった。

作戦では「ピアリスト操作（peer list manipulation）」と呼ばれる手法が用いられた。これは既知の接続先候補を記録したリストを意図的に書き換え、感染端末の通信先を捜査当局が用意したシンクホールへと誘導する技術である。過去にも「GameOver Zeus」（2014年）や「Kelihos」（2017年）といった大規模ボットネットの解体に用いられた実績がある。

これにより、感染端末は攻撃者からのペイロード配信指示やデータ転送を受け取ることができなくなり、ボットネットとしての機能が完全に封じ込められた。

CrowdStrikeは、SalityがC2サーバーからプログラムの更新を受け取る一般的なマルウェアではなく、ディスク上の実行ファイルに自身を埋め込んで広がるファイル感染型であったため、一度設計されたP2Pプロトコルの不備を後からパッチで修正できなかったことが決定打になったと説明している。長年にわたり捜査を逃れる盾となっていた自律的な拡散機構とP2P設計が、皮肉にもボットネット自身の終焉を決定づける要因となった。