20年続いたP2Pボットネット「Sality」が無力化 — CrowdStrikeがP2P構造を逆手にシンクホール、1万5千台への新規ペイロード配信を遮断

CrowdStrikeのCounter Adversary Operationsは2026年9月1日、20年以上にわたり活動を続けてきたP2P（Peer-to-Peer）ボットネット「Sality」に対し、2026年8月31日に国際法執行機関および業界パートナーと共同で大規模な無力化作戦を実施したと公表した。作戦はP2Pネットワーク自体をシンクホール化し、攻撃者が感染端末へ新たなペイロード（追加の悪性プログラム）を配信できない状態にすることが目的だった。CrowdStrikeによると、Salityは世界で1万5千台以上の感染端末にペイロードを配布できる規模を維持しており、今回の隔離で新規の配信経路が遮断された。

今回の作戦は米国司法省（DOJ）、連邦捜査局（FBI）、国防総省監察官室の国防犯罪捜査局（DCIS）、Shadowserver Foundationが中心となり、Europol、Eurojust、ブルガリア・ハンガリー・ルーマニアの法執行機関が支援したとCrowdStrikeは説明している。

Salityとは — 2003年から続くファイル感染型P2Pボットネット

Salityは2003年に初めて観測されたWindows向けのファイル感染型マルウェアである。CrowdStrikeは、Salityが実行ファイルに自身を付着させて拡散する「ポリモーフィックなファイル感染」機構を持ち、ネットワーク共有、リムーバブルドライブ、ファイル共有、侵害されたWebサイト、メールの添付ファイル、P2Pネットワークなど多様な経路で自己増殖してきたと説明している。この拡散方法により、攻撃者はフィッシングやエクスプロイトキットを常時運用しなくても感染が再生し続ける構造になっていた。

Salityが長期間存続したもう一つの理由は、P2Pアーキテクチャである。中央のC2（Command and Control）サーバに依存せず、感染端末同士が直接通信してタスクを中継するため、単一障害点が存在しない。CrowdStrikeによると、互換性のない2つの独立したP2Pネットワーク（version 3とversion 4）が同じコードベースと暗号鍵の違いで並行稼働し、今回の作戦まで双方が活性を保っていた。

Sality自体の機能は「追加ペイロードの配布」に絞られている。CrowdStrikeは、これまでに認証情報窃取、スパム配信、プロキシ提供、ネットワーク悪用、DDoS（分散型サービス妨害）など多様なマルウェアファミリーがSality経由で配布されてきたとしている。

なぜ今、無力化できたのか — P2Pの弱点を逆手に取るピアリスト操作

CrowdStrikeは「Salityを強靭にしてきたのと同じ特性が、今回の無力化を可能にした」と述べている。ポイントは次の2点である。

1. プロトコルが更新できない。 Salityはファイル感染で拡散するため、C2からコード更新を配布する通常のマルウェアと異なり、更新版を出しても既存の感染ファイルと競合してボットネットが分断されるだけで置き換わらない。20年前のプロトコルの弱点がそのまま残り続けた。

2. 誰でも参加できてしまう。 SalityのP2Pプロトコルには認証や暗号学的 identity、許可リストが存在しない。公開到達可能なマシンがP2Pハンドシェイクに正しく応答すれば、正規の感染端末と区別なくピアとして受け入れられる。CrowdStrikeは「可用性だけが参加条件だった」と表現している。

作戦は、このピアリスト（各ボットが保持する、到達可能なスーパーピアの有限リスト）を標的とした「ピアリスト操作」である。Salityのボットは40分ごとに保持するピアの生存確認を行い、応答したピアのレピュテーションを上げ、失敗したピアを徐々に排除する。このサイクルを悪用し、プロトコルレベルで正規のスーパーピアのエントリを無効化し、空いたリストにCrowdStrikeが用意したシンクホール用エントリを挿入した。

CrowdStrikeは、まずP2Pネットワークのバックボーンであるスーパーピアを集中的に隔離したと説明している。スーパーピアが隔離されると、URLパック（ペイロードのダウンロード先URLリスト）とファイルパック（ペイロード本体の直接転送）の双方の伝播が停止する。ファイアウォールやNAT配下で直接到達できない多数の感染端末については、通常のメンテナンス周期でシンクホールへ自発的に接続してきた際にピアリストが洗浄され、恒久的に隔離される仕組みである。CrowdStrikeは「攻撃者の視点では、感染端末が単に消失したように見える」と述べている。

被害の実態 — EggJaggerによる仮想通貨窃取と3件のDDoS転用

CrowdStrikeによると、過去8年間のSalityの主要ペイロードは「EggJagger」と呼ばれるクリップボード監視型の窃取ツールだった。端末のクリップボードを常時監視し、ビットコインやイーサリアムなどのウォレットアドレスがコピーされると、攻撃者が管理するアドレスへ静かに置換して送金を横取りする。CrowdStrikeは、この手口で少なくとも約12.1Mルーブル（約15万米ドル）が窃取されたと推定し、窃取後に一度も使用されなかったウォレットの価値は2025年1月にピークの約147Mルーブルに達していたとしている。CrowdStrikeは、この金額はEggJaggerファミリーのみの推定であり、他のペイロードによる収益は含まないと補足している。

金銭目的が中心である一方、CrowdStrikeはSalityが3件のDDoSキャンペーンに転用された事例を挙げている。

• 2016年4月: アラビア語の金融フォーラム「forex2030[.]com」を標的としたDDoS。サイトが応答不能になった。
• 2022年2月25日: ロシアによるウクライナへの全面侵攻の翌日、ウクライナのフォーラム「kharkovforum[.]com」で侵攻に関する議論が行われていたスレッドを標的としたHTTPフラッド。愛国的な動機が示唆されるとCrowdStrikeは分析している。
• 2023年9月: ロシアの仮想通貨交換所「AvanChange」を標的としたDDoS。ペイロードは配布直前にコンパイルされており、取引やアカウントを巡る個人的なトラブルへの衝動的な反応だった可能性があるとCrowdStrikeは述べている。

CrowdStrikeは、Salityの運用主体について、セキュリティコミュニティで「Salty Spider」「Kukacka」「SaliCode」などと呼ばれるアクターで、ロシア連邦のバシコルトスタン共和国を拠点に活動しているとの見方を示している。

並行して実施されたペイロードURLのテイクダウン

P2Pシンクホールと並行して、国際法執行機関との連携で、SalityのペイロードをホストしていたURLのテイクダウンも実施された。これらのURLは「URLパック」としてボットに配布されるもので、侵害されたWebサーバや攻撃者が管理するサーバ上のファイルを指す。CrowdStrikeは、遮断の移行期間中にボットが既存のURLパックを使って新規ペイロードを取得できないようにする狙いだったと説明している。

CrowdStrikeが公表した、遮断直前に配布されていたURLパックの例は次のとおりである。

• http://theunforgiven.p8[.]hu/img/top.gif
• http://painelwebradiodigital.awardspace[.]info/v3/readme.pdf
• http://sgwebdesigner.free[.]fr/left.gif
• http://www.yonelco[.]com/icon.png
• http://pozdravizbeograda[.]com/readme.pdf

感染の確認方法と今後の対応 — シンクホールへのビーコンが指標

CrowdStrikeは、すべてのSality感染端末が現在はCrowdStrikeが運用するシンクホールへビーコンを送る状態になったとし、組織はネットワークログやエンドポイントテレメトリで次の「灯台」IPアドレスへのUDP通信がないか確認するよう呼びかけている。該当があればSality感染が残存していることを意味する。

• 灯台IP: 188.166.101[.]148 へのUDP通信

CrowdStrikeは「P2Pアーキテクチャは長らく破壊不能な盾とみなされてきたが、十分な技術的投資とプロトコル挙動の精密な理解、法執行機関と業界パートナーの連携があれば、最も強靭な犯罪インフラでも解体できる」と述べている。一方で、「今回の遮断は新規ペイロードの到達を防ぐもので、すでに端末にインストールされた既存のマルウェアは依然として活動し得るため、個別に駆除する必要がある」と注意を促している。

日本国内の組織でも、長期間更新が滞ったWindows端末や共有フォルダを多用する環境では、ファイル感染型マルウェアのリスクが残る。CrowdStrikeが示した灯台IPへの通信有無の確認と、既知のペイロード配布URLへのアクセス履歴の点検、アンチウイルス製品でのフルスキャンと感染ファイルの隔離・再構築を、一次情報が推奨する対応として実施することが重要である。

出典

• CrowdStrike Counter Adversary Operations「Peer Pressure: Inside the Sality Botnet Disruption Operation」（2026年9月1日） https://www.crowdstrike.com/en-us/blog/inside-sality-botnet-disruption-operation/