CrowdStrikeと米司法省がSalityボットネットを壊滅 — Bitcoin (BTC) 送金を8年間乗っ取ったマルウェア

8年間にわたるクリップボード乗っ取り

CrowdStrikeと米連邦捜査当局は、感染端末上でビットコイン(BTC)やイーサリアムの送金を標的としてきたロシア発のボットネット「Sality」を壊滅させた。このマルウェアが狙ったのは、暗号資産ユーザーの最も日常的な習慣だ。ウォレットアドレスは誰も手で打ち込まない長い文字列であり、ユーザーはコピー・アンド・ペーストに頼る。Salityの主力ペイロード(CrowdStrikeの呼称でEggJagger)は感染マシンごとにクリップボードを常時監視し、ビットコインまたはイーサリアムのアドレスに類似する文字列を検知すると、そのコピー内容を攻撃者が管理する別のアドレスに静かに差し替えていた。被害者は気づかぬまま、貼り付けたアドレスとは別の相手に送金することになり、取引を取り消す手段はない。CrowdStrikeの推計では、攻撃者はこの手口だけで少なくとも1,210万ルーブル、およそ15万ドルを窃取したという。ボットネット自体の起源は2003年にさかのぼり、押収すべき中央サーバーを持たないP2P型の構造だった。感染マシン同士は直接通信し、既知のピアが生存しているかを40分ごとに確認し、ネットワークドライブやUSBメモリ経由で共有された実行ファイルに自身を付着させて拡散した。CrowdStrikeはこの「サーバーレス」設計を逆に弱点として利用し、正規のピアアドレスを自社のサーバーに置き換えることで、世界中の1万5,000台超の感染端末をネットワークから切断した。措置はラスベガスで開催された同社のDay Zeroサミットでのライブデモの中で月曜日に実行され、司法省のプレスリリースがSality関連インフラの排除を確認している。

SALTY SPIDERの未売却資産

CrowdStrikeが「SALTY SPIDER」のコードネームで追跡する運行者は、窃取額の生の数字以上に大きな利益を上げていた。盗んだコインの大半を手つかずのまま放置し、その忍耐が結果として報われたのだ。未売却のクジラ級ポートフォリオは2025年1月に約1億4,700万ルーブルでピークに達し、名目135万ドル、西側の大都市での購買力に換算すれば約400万ドルに相当する。まさにハイジャックされた資金だけで築かれた、偶然の長期HODLである。EggJagger以前のSalityは、他の攻撃者のために認証情報窃取、スパム、プロキシサービス、サービス拒否(DoS)ペイロードを配送して収益を上げていた。特筆すべき事件が一つある。2023年9月、ロシアの暗号資産取引所AvanChangeへのDoS攻撃で、ペイロードはアップロードの数秒前にコンパイルされていた。セキュリティ企業は、運行者が盗んだコインを現金化するためにこうした取引所に依存していたことを踏まえ、このタイミングを個人的な恨みによる衝動的な反応と読んでいる。壊滅作戦そのものは4カ国にまたがった。米国では司法省、FBI、国防総省犯罪捜査局がSalityのドメインを押収し、ブルガリア、ハンガリー、ルーマニアの警察が欧州側のサーバーを排除した。現在、The Shadowserver Foundationがインターネットプロバイダと連携し、被害者への通知を進めている。オンチェーン上のリプレイアタックとは異なり、この脅威はブロックチェーン自体には一切触れず、取引に署名される前の段階で襲いかかる。感染端末は手動で駆除するまでマルウェアが生きたまま残る。資金の移動先を選ぶユーザーは、保管衛生の観点から当社のベスト暗号資産取引所ガイドを参照されたい。

アドレス確認は今も変わらず重要

公式提出書類を精査した当社の読みでは、ここでの本質的な事実は金額ではなくアーキテクチャにある。Salityが23年も生き延びられたのは、押収すべき単一の障点を持たなかったからであり、ハンドシェイクに正しく応答したマシンを盲目的に信頼するという弱点を研究者が突いたときにのみ、崩壊した。BitcoinとEthereumのユーザーへの教訓は地味だ。8年間で15万ドルの窃取が成立したのは、ほかでもなく、ペーストしたアドレスの先頭と末尾の文字を確認しない人が続出したからにすぎない。貼り付け後は必ずアドレス全体を検証したい。マルウェアは排除されたが、この手口自体は特定のボットネットを超えて残り続ける。