C2ボットネットインフラストラクチャ：範囲と影響
C2インフラの解体は、法執行機関によるIoTボットネット対策に新たな打撃を与えるだけでなく、少なくとも一時的に、攻撃者、ネットワーク事業者、そして最悪のタイミングでのシステム停止を前提とするサービス間の力関係を変化させる。これは、パネルが停止したからといって問題が終わるわけではなく、多くの場合、単に局面が変わるだけなので、重要な意味を持つ。
指揮統制インフラに対する国際作戦
米国、ドイツ、カナダの当局は介入し、Aisuru、KimWolf、JackSkid、Mossadといったボットネットが使用していたコマンド＆コントロール（C2）インフラを無効化した。これらのボットネットは、モノのインターネット（IoT）デバイスを侵害して大規模な攻撃を調整していた。
この作戦は、孤立した仮想サーバーにとどまらず、ドメイン、管理パネル、およびオペレーターが送信できる技術チェーンの他のポイントにも及んだ。 数百万台のデバイスへの注文 乗っ取られた。その拠点から、国防総省情報ネットワーク（DoDIN）に関連するIPアドレスを含む世界中の標的に対して、数十万件もの分散型サービス拒否（DDoS）攻撃が仕掛けられたとされている。つまり、それは単なる厄介なネットワークではなく、機密性の高いインフラに実際に圧力をかけることができる運用プラットフォームだったのだ。
裁判所文書の内容
米国司法省によると、裁判記録では、これらのネットワークによって侵害されたデバイスは300万台以上（IPカメラ、ビデオレコーダー、Wi-Fiルーターなど）に上り、各ボットネットが発行した攻撃命令の数も以下のように示されている。Aisuru：20万件以上、KimWolf：2万5千件以上、JackSkid：9万件以上、Mossad：1千件以上。 司法省が公表した.
その数字は状況を把握する上で役立ちますが、侵害されたデバイスすべてが等しく価値があると解釈すべきではありません。規模は大きいが不安定なボットネットは、持続性があり、ノードのローテーションが適切で、攻撃のタイミングを熟知したオペレーターがいる小規模なボットネットとは異なります。問題は、関与しているデバイスの数だけでなく、特定の期間におけるネットワークの可用性にも関わる場合があるのです。
なぜ報告された交通量の急増が重要なのか
12月、Aisuruは31.4Tbpsのピークと毎秒2億件のリクエストを記録しました。以前の記録は29.7Tbpsで、11月には約50万のIPアドレスから15.72Tbpsに達した別の波と関連付けられていました。これらは確かに驚くべき数字ですが、重要なのは技術的な見出しそのものではありません。これらの数字が真に示しているのは、深刻なサービス低下を招くことなく攻撃を吸収または回避するために必要な防御の閾値です。
こうした急増が発生すると、議論は「危険かどうか」から「誰が、どれくらいの期間、どれくらいのコストで耐えられるのか」へと移ります。中規模の事業者や分散アーキテクチャの少ないサービスにとって、答えは必ずしも容易ではありません。こうした攻撃によってすべてが停止するわけではないものの、サービスが断続的になったり、予測不能になったり、維持管理に莫大なコストがかかるような環境も存在します。そして、運用面から見れば、それはすでに攻撃者にとって部分的な勝利と言えるでしょう。
ボットネットがそのような規模で稼働すると、脅威は単発的な事象ではなくなります。ネットワークの混雑、長期的なパフォーマンス低下、高額な対策費用、そして根本的な脆弱性に対処する代わりに火消しに追われる技術チームなど、システム全体のリスクとなるのです。
犯行手口の技術的解釈
これらのボットネットは、IoT環境でよく知られている組み合わせ、すなわち、インターフェースが公開されているデバイス、デフォルトまたはパッチ未適用の認証情報、およびインターネットからアクセス可能な管理ソフトウェアを悪用しました。C2インフラストラクチャはネットワークの「頭脳」として機能し、オペレーターからのコマンドを受信して、侵害された各デバイスに配置されるエージェントに配信されるアクションに変換します。
理論上は基本的なことのように思えるが、実際には、本当の問題はたいてい、不要な機器が放置されていることにある。忘れ去られたルーター、何年も前に設置されたカメラ、「まだ動くから」という理由で誰も更新しないレコーダー。こうした機器の残骸こそが、ネットワークの継続性を保つ要因となる。ネットワークは、すべてのノードで完璧な高度化を必要としない。ルーチンワーク、怠慢、あるいは在庫不足によって維持される数多くの弱点があっても、それで満足してしまうのだ。
さらに、アクセス市場、つまり声明で言及されている「サービスとしてのサイバー犯罪」モデルは、被害を増幅させる。 マルウェア 彼らはこれらのネットワークへのアクセス権をレンタルして、恐喝や攻撃キャンペーンを展開することができる。これは状況を大きく変える。もはや単一のグループがボットネットを集中的に悪用しようとする必要性はなくなり、ネットワークはサービスとして流通するようになる。彼らにとってはより利益になり、他の者にとっては予測が難しくなる。
警察介入の運用上の影響と限界
その 排除 C2サーバーやドメインへの介入は、連携を阻害し、新たなコマンドの発行を減らし、アクティブな攻撃を封じ込めるための緩衝材となる。これは非常に価値のあることだ。しかし、それを過度に解釈してはならない。制御層への介入は、感染したデバイスを自動的にクリーンアップしたり、感染を招いた慣行を修正したりするものではない。
これは、こうした種類の作戦を解釈する際に最もよくある間違いの一つです。中央司令部が崩壊したからといって、エコシステムがクリーンになったと考えるのは間違いです。しかし、そう簡単にはいきません。所有者がファームウェアを更新しなかったり、認証情報を変更しなかったり、あるいはデバイスが公開されていることにさえ気づいていない場合、根本的な問題は解決されません。そして、このC2コマンドを持たないボットネットは、別の名前で、別のデバイスネットワークを使って、後日再び出現する可能性があります。
今回の取引に参加した同業他社の1つであるAkamaiは、これらのネットワークが重要インフラに及ぼす運用上の影響を強調した。これらのネットワークは、コアサービスの停止、ユーザーエクスペリエンスの低下、クラウド緩和ソリューションの過負荷を引き起こす可能性がある。この点は注目に値する。なぜなら、境界防御を強化するだけで全てが解決できるわけではないからだ。緩和策が有効な場合もあるが、環境が脆弱であったり、セグメント化が不十分であったり、少数のボトルネックに依存していたりする場合、改善の余地は限られてしまう。
介入すべきタイミングはいつなのか、そして介入後にはどのようなことが予想されるのか？
司法および技術的な介入は、中央集権的な調整を阻害し、進行中の攻撃を減らし、その制御に依存する行為者の作戦コストを増加させる場合に有効である。特に、ボットネットが既に継続的な被害をもたらしている場合や、複数の犯罪顧客にサービスを提供できるほど成熟したインフラを備えている場合に有効である。
推奨できないのは、それらを自己完結型の解決策として扱うことです。組織が「当局が既に対応済みだ」という考えだけに固執すると、実際に管理すべき部分、つまり在庫管理、ネットワークのセグメンテーション、認証情報管理、リモートアクセス対策、そして現実的なパッチ適用といった面で、対応が遅れてしまいます。なぜなら、すべての機器を同じペースでアップデートできるわけではなく、すべての旧型機器がクリーンな防御に対応しているわけでもないからです。時には、「これまで通りの業務」ではなく、影響を受けるシステムを隔離、交換、あるいは完全に廃止することが正しい選択となる場合もあります。
ベンダーや組織にとって、ここで挙げる有用な基準は抽象的なものではありません。IoTをアドホックに管理している場合は、リスクの低減と認証情報の検証に重点を置くことになるでしょう。しかし、ビデオ監視、ゲートウェイ、分散センサー、エッジネットワークなど、IoTに継続的に依存している場合は、最低限の制御ではもはや不十分です。リスクが繰り返し発生することを受け入れ、予防だけでなく対応策を設計する必要があります。ただし、これらの機器を単なる周辺機器として扱い続けることは不要です。ボットネットが勢力を拡大すると、そのようなやり方は往々にして大きな損失につながります。
この作戦により、Aisuru、KimWolf、JackSkid、Mossadがキャンペーンを開始する即時の能力は低下する。これは良いことだ。しかし、作戦上の教訓は別のところにある。管理が不十分なデバイスが存在する限り、ボットネットは消滅しない。単にインフラをローテーションさせたり、オペレーターを変更したり、異なるコマンドインターフェースで復活したりするだけだ。そのため、我々は目先の攻撃よりも、その後の規律に重点を置く必要がある。
