米国司法省は2026年9月1日（現地時間）、2003年から活動を続けてきたマルウェア「Sality」のボットネットとそのインフラを国際連携で遮断したと発表した。同省カリフォルニア中部地区連邦検事局が公表したプレスリリースによると、米国、Bulgaria、Hungary、Romaniaの法執行機関が、民間パートナーであるCrowdStrikeおよびShadowserver Foundationと協力して実行した作戦だ。
P2Pボットネットを逆手に取るシンクホール作戦
Salityは感染した端末（ボット）をピアツーピア（P2P）ネットワークで相互に接続し、コマンドを分散して共有するボットネットを形成する。中央の指令サーバを持たないため遮断が難しく、感染端末の所有者が気づかないまま暗号資産の窃取やサイバー攻撃の踏み台に悪用されてきたと同省は説明している。
今回の作戦では、CrowdStrikeのCounter Adversary Operationsチームが、米国司法省、連邦捜査局（FBI）、国防総省監察総監室の捜査部門（DCIS）、国際法執行機関と連携し、P2Pネットワーク自体をシンクホール化する手法を用いた。P2Pの仕組みを逆手に取り、ボット同士の通信を無害なインフラへ誘導することで、新たな悪性ペイロードの配布を遮断する狙いだ。
米国司法省、FBI、DCISは米国に所在するSality関連ドメインを差し押さえた。Bulgariaの組織犯罪対策総局、Hungaryの国家捜査局サイバー犯罪部、Romaniaの組織犯罪対策局中央サイバー犯罪ユニットが、欧州でホストされていた追加の関連ドメインに対して措置を講じた。EurojustとEuropol、司法省国際局（Office of International Affairs）が多法域にわたる捜査を支援したと同省は明記している。
被害者への通知と復旧支援
同省によると、Shadowserver Foundationがインターネットサービスプロバイダー（ISP）や各国のCSIRT（Computer Security Incident Response Team）と連携し、感染の特定と被害者への通知、復旧支援を担っている。P2P型では感染端末の洗い出しが課題となるため、シンクホールで得られた情報をもとにISP経由で利用者へ注意喚起を行う枠組みだ。
同省は今回の連携を、ホワイトハウスのサイバー戦略が掲げる「敵対者の行動を形成する（Shape Adversary Behavior）」を前進させるものと位置づけた。ロサンゼルス担当の第一連邦検事補Bill Essayli氏は「官民が協力すれば強力な力になることを示した」と述べ、FBIロサンゼルス支局のPatrick Grandy助理局長は「国際的な連携がSalityの脅威を無力化する能力を高めた」とコメントした。国防総省のKenneth DeChellis捜査官は「国防情報ネットワークの保護は最優先事項だ」と強調した。
捜査を主導したのはカリフォルニア中部地区連邦検事局国家安全保障部のLauren Restrepo連邦検事と、FBIロサンゼルス支局およびDCISだと同省は説明している。
企業と利用者が確認すべきこと
米国司法省のプレスリリースは、Salityが2003年から米国を含む世界で被害を広げてきたと指摘している。P2Pボットネットは長期間潜伏しやすい特性があるため、組織は保有端末で不審なP2P通信や長期にわたる常駐プロセスがないかを確認することが重要だ。
同省は、Shadowserver FoundationがISPやCSIRTと進める通知が届いた場合は指示に従い、セキュリティ製品の定義を最新化した上でフルスキャンを実施し、感染が確認された端末はネットワークから隔離して再イメージ化することを推奨しているわけではないが、同財団による通知・支援の枠組みが稼働していることを明らかにしている。組織は公式の通知経路を確認し、身に覚えのないドメイン通信の遮断や認証情報の更新を検討したい。
出典
- 米国司法省カリフォルニア中部地区連邦検事局「Sality Malware Disrupted in International Cyber Takedown」2026年9月1日 https://www.justice.gov/usao-cdca/pr/sality-malware-disrupted-international-cyber-takedown
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。