23年続いたSalityを遮断、P2Pの仕組みが弱点になった

2003年から続くSalityボットネットは、2026年8月31日の国際共同作戦で運営者の指令経路から遮断された。米司法省の発表 によると、米国、ブルガリア、ハンガリー、ルーマニアの当局が連携し、CrowdStrikeとShadowserver Foundationの協力を得てP2Pシンクホール作戦と関連インフラへの措置を実施した。

作戦で止めたのは、感染端末へ新しい指令やペイロードを届ける経路であり、端末上の感染コードそのものではない。Europolの作戦概要 も、同日の措置によって感染端末の通信を犯罪側の基盤からシンクホールへ向け、運営者の指令チャネルを機能不能にしたとしている。

中央サーバーのない網を、内部から切り離した

Salityでは感染端末がピアとして直接通信し、指令やペイロードの配布情報を中継する。単一のコマンド・アンド・コントロールサーバーを失わせても全体が直ちに止まらないため、ドメイン差し押さえだけでは遮断を完結できない構造だった。

その耐障害性を支えていた仕組みが、今回の介入経路にもなった。Salityのボットは、正しいP2Pハンドシェイクに応答する到達可能な端末を、暗号学的な本人確認なしにピアとして受け入れる。防御側はこの挙動を利用し、犯罪者側のピアから感染端末を段階的に引き離した。

弱点だったのは分散通信一般ではなく、Sality固有の古い信頼設計である。中央の障害点をなくす一方、参加者の真正性を検証できなかったため、プロトコルを理解した防御側をネットワークから排除できなかった。

ピア一覧を操作し、シンクホールへ隔離

作戦の中核は、各ボットが保持する有限のスーパーピア一覧だった。CrowdStrikeの技術報告 によると、ボットは約40分ごとに保存済みピアの稼働を確認し、応答しないピアの評価を下げて最終的に一覧から除く。作戦チームは検証時のプロトコル挙動を利用して犯罪側のスーパーピアを無効化し、空いた一覧へ専用シンクホールを挿入した。

ファイアウォールやNATの内側にある端末には外部から直接接触しにくい。それでも端末自身が通常の保守周期でシンクホールへ接続すれば、そのピア一覧を整理して犯罪側から隔離できる。隔離された端末にはURL packとfile packが伝わらなくなり、運営者は新しいタスクやペイロードを送れない。

シンクホールは通信の行き止まりであると同時に、残る感染を把握する観測点でもある。感染端末からの接続を防御側の管理下へ誘導することで、遮断の進行確認や被害者への通知に必要な情報を得られる。

ドメインと配布URLの措置で残存経路を塞いだ

ピア一覧の操作中にも、古いURL packを持つ端末が既知の配布先からファイルを取得する余地は残る。このため、米国ではSality関連ドメインが差し押さえられ、ブルガリア、ハンガリー、ルーマニアでも欧州に置かれた関連ドメインへの措置が取られた。作戦チームは当時ペイロードを置いていたURLも並行して停止し、移行中の追加ダウンロードを妨げた。

遮断は、犯罪側のスーパーピアを一覧から除くこと、シンクホールを新しい接続先にすること、既存のペイロード配布先を利用不能にすることの組み合わせで成立した。ドメインへの法的措置と、P2Pプロトコル内部への技術的介入がそれぞれ別の経路を塞いでいる。

指令の遮断は、感染端末の駆除ではない

ボットネットの制御不能化と、個々の端末の復旧は別の作業である。Salityは実行ファイルに自身を付加するポリモーフィック型のファイル感染マルウェアで、ネットワーク共有やリムーバブルメディアなどを介して広がる。新しい指令を受け取れなくなっても、改変された実行ファイルや既に導入された別のペイロードが自動的に消えるわけではない。

CrowdStrikeが公開した確認材料には、UDPでライトハウスIPの188.166.101[.]148へ向かう通信、停止直前のURL packに含まれた配布先への接続試行、実行中プロセスに埋め込まれたSality v3・v4のRSA公開鍵を探すYARAルールがある。シンクホールへの通信は「無害化済み」を示すものではなく、修復を要する感染の手掛かりとして扱う必要がある。

一致した端末はまずネットワークから隔離し、プロセス、メモリ、実行ファイル、永続化設定、接続履歴を調べて影響範囲を確定する。感染したファイルを漏れなく修復できない場合や、追加ペイロードによる変更を特定できない場合は、信頼できるイメージからの再構築が合理的な選択になる。共有領域やリムーバブルメディアも調査対象から外せない。

残る焦点は感染通知と端末の復旧

現時点で確認されているのは、Salityの運営者が従来のP2P経路を通じて新しい指令やペイロードを届けられなくなったことだ。Shadowserver FoundationはISPやCSIRTと連携し、感染の特定、被害者への通知、修復支援を進めている。

一方、日本国内の現存感染数や、通知後に復旧を終えた端末の割合は公表されていない。23年間続いた指令網は遮断されたが、端末の信頼性は自動的には回復しない。今後はシンクホールで観測される接続の推移と、各地域での通知・修復状況が作戦の長期的な効果を測る材料になる。