ボットネットとマルウェアの動作

ボットネットとは、マルウェアに感染して攻撃者から遠隔操作される多数の端末が、一斉に指令を受けて動く仕組みである。感染端末は攻撃者の指示で情報収集や攻撃に使われるため、指令の経路と感染端末の振る舞いを理解することが対策の基礎になる。

C&Cサーバの役割

C&Cサーバは、遠隔操作が可能なマルウェアに対して、情報収集や攻撃活動を指示する役割を担う。感染端末は指令を受けて動作するため、C&Cサーバへの通信を遮断すると、攻撃者からの指示が届かなくなる。多数の端末が同じ指令で動くため、単独の感染より被害は大きくなる。

踏み台となったサーバの通信を制御する仕組み、認証局の不正利用、Webコンテンツの一元管理は、いずれもC&Cサーバの役割とは別の概念である。試験では、指令を送る役割そのものを説明しているかで判断する。

外向き通信を利用したコネクトバック

コネクトバックとは、侵害されたシステムの側から攻撃者のサーバに対して通信を開始する方式である。外部からの接続を受け付けない環境では、攻撃者側から内部へ接続することが難しいため、この方式が使われる。

感染端末の内側から通信を開始するため、外部からの接続を前提とした防御だけでは検知が遅れる。外向きの通信を監視し、通信先の不審な宛先を制限することが、コネクトバックへの対策になる。

ランサムウェアによる暗号化や、PC内の情報を外部サイトへアップロードする動作は、コネクトバックの説明とは別の動作である。どの方向に通信が開始されるかを基準に区別する必要がある。

Miraiの動作

Miraiは、ランダムに生成したIPアドレスに対してTelnetへのログインを試み、工場出荷時の弱いパスワードを使っているIoT機器などに感染を広げる。感染した機器は、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行うボットネット型のマルウェアである。