ボットネットとは何か：あなたのルーターが知らぬ間に使われている理由

Twitter、Netflix、Spotify、Reddit、PayPal——これらすべてが同じ午後にダウンした。原因は各社のデータセンターの障害ではない。数万台の家庭用ルーター、カメラ、ベビーモニターが、たった1つのDNSプロバイダーに対して毎秒1.2テラビットのトラフィックを2時間にわたって浴びせかけたのだ。それらのデバイスの持ち主は、何が起きているのかまったく気づいていなかった。

この攻撃はMirai（ミライ）というマルウェアの仕業だった。Miraiは、工場出荷時のデフォルトパスワードだけで守られたガジェットをスキャンすることで、約60万台のインターネット接続デバイスを静かに勧誘していた。「ボットネット（botnet）」という言葉は、「ボット（bot）」（ソフトウェアロボットの略）と「ネットワーク（network）」を組み合わせたものだ。感染したデバイスはひとつひとつ「ゾンビ」と呼ばれる。持ち主にとっては正常に動作し続ける一方で、遠隔地にいる犯罪オペレーターからの命令を黙って実行する。

デバイスはどのように勧誘されるのか

ボットネットは複数の感染経路を通じて拡大する。フィッシングメールは悪意のある添付ファイルを運び、開封するとマルウェアがインストールされる。パッチが適用されていないソフトウェアは既知の脆弱性を晒しており、自動化されたスキャナーがインターネット中を探し回ってそれを見つけ出す。ドライブバイダウンロードは、ユーザーがエクスプロイトコードを仕込まれたページを訪れたときにデバイスを危険にさらす。

最も急速に成長している経路は、もっと単純だ。デフォルトの認証情報である。ルーター、カメラ、スマートテレビ、ネットワークストレージドライブは、日常的に同一のパスワード（「admin/admin」「admin/password」）を出荷時に設定されており、何百万ものユーザーがそれを変更したことがない。Miraiが必要としたのは、61組のデフォルトの認証情報リストと、開放されたTelnetポートへのアクセスだけだった。

指揮命令インフラ

感染すると、デバイスは指令運用ネットワークに参加し、オペレーターが数千台から数百万台ものマシンに同時に命令を出せるようになる。最も単純なアーキテクチャは中央サーバーを使うもので、効率的ではあるが、法執行機関がシャットダウンできる単一障害点でもある。高度なボットネットはピアツーピアモデルを使い、ボット同士が互いに命令を中継し合うため、単一のチョークポイントが存在しない。さらに別のものは、サーバーのアドレスを数分ごとにローテーションする（fast-flux DNSと呼ばれる手法）ことで、ブロックリストをかわす。

国家が関与する作戦は異なるアプローチをとる。中国の諜報機関と関連があり、米国の重要インフラを標的とするグループVolt Typhoon（ボルト・タイフーン）は、少なくとも2021年以来、マルウェアをまったく避け、正規のシステムツールと、数ヶ月間にわたって検出されずに潜伏する侵害済みルーターを通じて活動している。

ネットワークが実際に行うこと

ボットネットの収益モデルは多岐にわたる。サービスとしてのDDoS（DDoS-as-a-service）は最も目に見える商品だ。競合他社のウェブサイトや政府のサービスをオフラインにしたい顧客に対して、攻撃容量をレンタルする。スパムキャンペーンは、数十億通のフィッシングメールを感染したインフラ経由で送り、IPアドレスを絶えずローテーションしてブロックリストを回避する。クレデンシャルスタッフィングは、ボットネットのノードを使って、盗まれたログインペアを何千ものサービスに同時にテストし、試行を薄く分散させることでレート制限をかわす。

クリプトマイニングは、アイドル状態のデバイスのCPUとGPUサイクルを乗っ取り、プライバシーコインを生成する。クリック詐欺は、広告エンゲージメントを大規模にシミュレートする。プロキシサービスモデルは、おそらくすべての中で最も収益性が高い。感染したIPアドレスを、実際の家庭ではなくデータセンターからのトラフィックに見える必要があるクライアント向けのレジデンシャルプロキシとしてレンタルする。米国当局によって2024年5月に解体された911 S5ネットワークは、2800万台の侵害されたIPアドレスを賃貸インフラとして10年以上運営し、連邦大陪審の起訴状が公開されるまでに推定1億5000万ドルを生み出していた。

脅威を定義づけた事例

Miraiは、規模と影響の現代的な基準を打ち立てた。DNSプロバイダーDynへの攻撃は、これまでのどの事件よりも、ひとつの午後でより多くのインターネットサービスを混乱させた。その作成者たちはその後、ソースコードを公開し、現在も活動を続ける数十の後継ボットネットの種をまいた。

Emotet（エモテット）は2014年から銀行トロイの木馬として活動し、他の犯罪グループにレンタルされるボットネット・アズ・ア・サービス（Botnet-as-a-service）プラットフォームへと進化した。ピーク時には180カ国で約400万台のデバイスに感染していた。2021年1月、9カ国の機関による協調的な摘発で活動が中断された。その後、TrickBot（トリックボット）グループが販売したアクセス経由で再構築され、12ヶ月後に運用を再開した。

最も重大な最近の事例のひとつに、1700万台のデバイスをひそかに賃貸犯罪インフラに変えたレジデンシャルプロキシネットワークがあり、その運営者たちは逮捕された。

デバイスが感染しているかどうかを確認する方法

ほとんどの侵害されたデバイスは劇的な兆候を示さない。デバイスがアイドル状態であるべきときに一貫して高い帯域幅使用がある、予期しないCPUアクティビティがある、ルーターのトラフィックログに見知らぬIPアドレスへの接続が表示される、またはインターネットサービスプロバイダーから異常な送信トラフィックを警告する通知が届く——これらはすべて侵害の兆候となり得る。一部のISPは、回線上のデバイスがボットネットのブロックリストに掲載された場合に、顧客に積極的に通知する。

被害を減らすために

最も効果的なひとつの対策は、すべてのネットワーク接続デバイス（ルーター、カメラ、プリンター、ネットワーク接続ストレージドライブ）を接続する前に、工場出荷時のデフォルトパスワードを変更することだ。その後にすべきことは、すべてのデバイスのファームウェアを最新に保つこと、ルーターのユニバーサルプラグアンドプレイ（UPnP）を積極的に使用していない限り無効にすること、そしてIoTデバイスを機密データを保持するコンピューターとは別のネットワークセグメントに配置することだ。

ネットワーク監視ソフトウェアは、ISPの警告が届く前に異常な送信接続を検知できる。ツールは存在する。アップデートの通知は現れる。ボットネットが大規模なのは、ほとんどの人がその両方を無視するからだ。

タグ: サイバーセキュリティ, ボットネット, マルウェア, DDoS, IoTセキュリティ, Mirai