ボットネットSalityの解体
CrowdStrikeと司法省は、2003年から活動していたボットネットSalityを解体したと火曜日に発表しました。このボットネットは、感染したコンピュータ上でウォレットアドレスを書き換えることによって、暗号通貨の支払いをハイジャックしていました。
EggJaggerとその影響
Sality自体は他人のペイロードを配信すること以外はほとんど何もしていませんでした。8年間の主なペイロードはEggJaggerで、CrowdStrikeはこれを「クリップボードを監視して暗号通貨ウォレットアドレスを交換するクリップジャッキングツール」と呼んでいます。被害者がビットコインやイーサリアムのアドレスをコピーして誰かに支払うと、実際には見知らぬ人にお金が送られてしまいます。
CrowdStrikeは、EggJaggerだけで最低121万ルーブル、約15万ドルの利益を上げたと見積もっています。EggJagger以前は、ボットネットは認証情報の盗難、スパム、プロキシサービス、サービス拒否ペイロードを配信することで収益を上げていました。盗まれたコインはほとんど手を付けられず、これがより利益を上げる決定となりました。
Salityのアーキテクチャと解体作戦
CrowdStrikeは、未使用のポートフォリオを2025年1月に約1億4700万ルーブル、名目上135万ドル、または西側の首都での400万ドルの購買力に相当すると評価しています。Salityが2003年から生き残っていたのは、中央サーバーがなかったためです。感染したマシンは直接互いに通信し、マルウェアはネットワーク共有やリムーバブルドライブを介して実行可能ファイルに付着することで広がり、オペレーターからの努力なしに再生していました。そのアーキテクチャは侵入の方法でもありました。
ボットは、ハンドシェイクに正しく応答する任意の到達可能なマシンを受け入れ、誰が参加しているかのチェックはありませんでした。CrowdStrikeの対敵作戦チームは、そのアクセスを利用して各ボットのアドレスリストから正当なピアを削除し、自社のシンクホールを挿入し、世界中で15,000台以上のマシンを隔離しました。
国際的な協力と今後の課題
司法省、FBI、国防犯罪捜査局は、米国でSalityに関連するドメインを押収し、ブルガリア、ハンガリー、ルーマニアの警察はヨーロッパの他のドメインを取り下げました。Shadowserver Foundationは、インターネットプロバイダーと協力して被害者に通知しています。
CrowdStrikeがSALTY SPIDERとして追跡しているオペレーターは、時折ボットネットを自分のターゲットに向けることもありました。2023年9月にサービス拒否ペイロードがロシアの暗号通貨取引所AvanChangeを攻撃し、アップロードの数秒前にコンパイルされたことから、CrowdStrikeはこれを個人的な不満に対する衝動的な反応と見ています。同社は、オペレーターがこのような取引所を利用して盗まれたコインを現金に換えていたと考えています。
感染したマシンは現在、所有者ではなくCrowdStrikeが制御するシンクホールに報告しています。同社は検出ルールとネットワーク指標を公開しており、すでにこれらのマシンに存在するマルウェアは誰かが取り除くまでアクティブなままであると警告しています。
