P2Pの「強み」を逆手に──当局がSalityの全ピアを隔離し、拡散と指令連鎖を遮断します

今日の深掘りポイント

• P2Pボットネットの耐障害性そのものを逆用し、ネットワーク全体を“隔離”する発想の転換が実現した点が核です。
• 依然として端末は感染状態にあり得るため、“通信断＝無害化”ではない現実に備える必要があります。
• 捜査機関×民間（CrowdStrike、Shadowserver）の協調オペレーションは、P2P型脅威に対する標準手順化の兆しです。
• 日本のSOCは、域外のシンクホールやピア隔離を前提に“残留流量”を活用した検知・根絶計画へ転換する好機です。
• 犯罪側の再編（新鍵・新オーバレイ・QUIC/DoH化）を見越した“出口制御とゼロトラストの両輪”が中期戦略になります。

はじめに

米司法省は2026年8月31日、2003年から活動してきたP2P型ボットネット「Sality」に対し、米・ブルガリア・ハンガリー・ルーマニア各当局と、CrowdStrike、Shadowserver Foundationの協力で通信遮断を伴う作戦を実施し、ネットワーク内のすべてのピアを隔離したと発表しました。SalityはWindows実行ファイルを感染させる古参のファイルインフェクタで、認証情報窃取やDDoS、さらには暗号資産アドレスの“クリッピング”を通じた金銭窃取の中継基盤としても悪用されてきました。報道では感染端末が少なくとも1.5万台規模に達していたとされ、当局はP2Pの設計を逆手に取り、感染端末と攻撃者間の指令連鎖を切断したと伝えています。Salityの“しぶとさ”に対し、ネットワーク科学と法執行の組み合わせで正面突破した事例と言えます。

参考情報として公開報道を末尾に掲げますが、以下では事実と技術的含意を切り分け、CISO・SOC向けに実務へ落とし込む視点で整理します。

深掘り詳細

何が起きたか（事実整理）

• 米司法省と欧州の複数当局、民間（CrowdStrike、Shadowserver）が協調し、SalityのP2Pアーキテクチャを逆用してピア間通信を無効化する作戦を実施したと報じられています。
• Salityは2003年から活動し、Windowsの実行ファイルを感染させ、追加モジュールで認証情報窃取、DDoS、スパム送信、暗号資産アドレスの置換（報道ではEggJaggerとして言及）による少なくとも15万ドルの被害を与えたとされています。
• 今回の措置は中央集権的C2の押収ではなく、P2Pの参加ノード（ピア）の隔離によってコマンド配信と新規拡散の実効性を落とすアプローチで、報道ではネットワーク内の全ピアの隔離に言及しています。
• 感染ホストのマルウェア自体が消去されたわけではないため、企業側での事後クリーニングと再感染防止策が依然として必要になります。

出典: The Hacker Newsの報道

どこが新しいか（編集部のインサイト）

• P2Pの「強靭性」を“逆転利用”した点が肝です。P2Pボットは通常、C2の単一障害点を避けるために冗長なピア表、更新伝播機構、NAT越えを備えます。これに対し当局は、ピア発見・優先度・信頼のメカニズムを読み解き、ネットワークグラフ上で優勢な位置（多数派やハブ）を占拠する、あるいはピア表を“毒入れ”することで事実上の隔離を達成した可能性が高いです（ここは一般的なP2P制圧手法に基づく仮説です）。
• “通信断＝機能劣化”は達成できても、“駆除”とは別問題です。特にSalityはファイルインフェクタの性質上、OS内の複数バイナリへ感染を広げます。EDR/AVの検知が落ちた瞬間にレガシー端末上で再浮上するリスクが残りやすく、企業側のルートコーズ除去（再イメージングや署名検証）が問われます。
• 技術面の快挙以上に運用面の示唆が大きいです。民間の観測基盤（Shadowserver）とレスポンス主体（法執行・CrowdStrike）が、観測→封じ込め→通知という一連の“サプライチェーン”を国際連携で実装したことは、P2P型脅威への実務標準化に向けた足場になります。
• 防御側は“シンクホール後の残留トラフィック”を検知資産に変換できます。遮断前後でのフロー差分、依然として外向きにピア探索を繰り返す端末の抽出は、根絶のための強力なテレメトリになります。

脅威シナリオと影響

本件はサイバー脅威に関する記事のため、MITRE ATT&CKに沿った仮説シナリオを提示します（技術詳細は一般知見と公開報道に基づく仮説であり、個別事案への断定ではありません）。

• 想定される攻撃ライフサイクル（仮説）

  • Initial Access
    • 悪性実行ファイルのユーザー実行（メール添付、海賊版ソフト、感染USB/共有ドライブ経由）に依存する傾向が強いです。ATT&CKで言えばUser ExecutionやRemovable Media経由が典型です。
  • Execution/Persistence
    • 感染PEの実行により、レジストリRunキー、サービス、スケジュールタスクなど複数の自動起動機構を組み合わせる可能性があります。ファイルインフェクタ特性により、正規プロセスへのコード挿入と共存を図る防御回避が想定されます。
  • Credential Access/Collection
    • ブラウザ保存認証情報、キーロギング、クリップボード監視（報道のEggJaggerのようなアドレス置換）などを用いて金銭化する可能性があります。
  • Command and Control
    • P2P更新・コマンド配信により、特定ノードの摘発に耐性を持ちます。非標準ポートやUDPベースの軽量ハンドシェイク、暗号化プロトコルの利用が考えられます。
  • Impact
    • 追加ペイロードとしてDDoSやスパム、他マルウェアの配信基盤として使われるほか、暗号資産窃取など直接的な金銭被害を生む恐れがあります。

• 企業への影響（日本企業視点）

  • 直近の新規指令は鈍る可能性が高い一方で、既存感染端末が“静かに”滞留し続けるリスクが最大の懸念です。資産管理が緩い拠点や在宅端末、OTに接続されたWindows機器などが“見落としポケット”になりやすいです。
  • 攻撃者側の再編（新しい鍵と署名、ピア探索の暗号化、HTTP/3/QUICやDoH/DoQへのシフト）は高確度で発生すると見ます。これによりネットワーク層での兆候は一層希薄化し、エンドポイント側のふるまい検知（EPP/EDR）とアプリケーション制御の価値が相対的に高まります。
  • 国際的な連携作戦は犯罪者の行動コストを底上げしますが、“再播種”が速いエコシステムでは抑止が短命になりがちです。検知から根絶までの平均サイクルタイムを短縮する運用能力が、抑止効果を企業内で現実のリスク低減に変換する鍵になります。

• メトリクスからの総合考察（編集方針）

  • 信頼性と確度が高い一方、新奇性と実務アクション性は“中庸より上”というバランスに見えます。これは、技術的快挙であっても企業側の施策は“地に足のついた根絶と再感染防止”が中心になることを意味します。短期はハント、隔離、再イメージングの実行力で差がつき、中期は出口制御・アプリ制御・資産可視化の地力が安全余白を決めます。

セキュリティ担当者のアクション

• 48時間以内（緊急対応）

  • ネットワークハント
    • 直近2～4週間のフローログから、外向きP2P的ふるまい（多数のユニーク宛先への短時間接続試行、散発的UDP/TCPセッション、接続失敗の連続）を抽出します。遮断以降も継続する宛先探索は高確度の感染示唆になります。
  • EDRハント
    • 未署名/低信頼のPE実行履歴、正規プロセスへのコード注入、レジストリRun/サービス/タスクへの恒常的変更、クリップボードAPIへの高頻度フックなどを優先探索します。
  • 端末隔離と初動封じ込め
    • 感染疑い端末はネットワーク隔離し、認証情報の強制リセットを段階的に実施します（ローカル、ドメイン、ブラウザ内保存の順で）。

• 1～2週間（根絶・復旧）

  • 駆除戦略
    • ファイルインフェクタ特性を踏まえ、クリーニングの成否が不明瞭な場合は“再イメージング優先”を原則にします。重要端末はゴールデンイメージからの再展開で再感染リスクを最小化します。
  • 出口制御と監視
    • egressは“許可リスト前提”へシフトし、未知P2P的ふるまいを脅威ハンティング用の常設ダッシュボードに載せます。遮断後の“残留トラフィック”をKPI化（例：疑似ピア探索の日次件数、隔離完了率）し、改善サイクルを可視化します。
  • 影響評価
    • クリップボード改竄やブラウザ窃取の痕跡がある場合、関係する暗号資産アドレス・金融アカウント・SaaSセッションの強制無効化と再発行を徹底します。

• 今四半期（構造的対策）

  • アプリケーション制御
    • WDAC/AppLocker/Software Restriction Policiesでユーザー書き込み領域と仮想ストアからの実行をブロックします。
  • アイソレーションと“巻き戻し可能性”
    • 高リスク端末にはOSレベルのコンテナ/仮想化ベース分離（VBS）と自動復元（再イメージ）を組み合わせ、感染時の業務影響と対応時間を最小化します。
  • メール・Webの実行抑止
    • 添付/ダウンロードのマクロ・スクリプト・実行形式の既定ブロック、SmartScreen/ASR/Officeポリシー強化をセットで適用します。
  • 連携体制
    • Shadowserverなど外部観測機関からの被害通知を受け取るルートと、通知受領後の社内SOP（封じ込め→根絶→証跡保全→再発防止）を文書化・訓練します。

• ハンティング観点のヒント（一般論）

  • 多数宛先への小サイズ外向きパケットのスパイクや、定期的なピア探索に類似する周期性はP2Pの典型です。遮断作戦後もしつこく外向き要求を出し続ける端末は優先的に精査します。
  • 正規PEのハッシュが短期間で複数回変化する、整合しない署名情報が観測される場合、ファイルインフェクタの兆候として扱います。
  • クリップボード内容に対する連続的な書き換え、暗号資産アドレス形式の出現頻度の異常は、クリッパー系の補助的シグナルになります。

参考情報

• The Hacker News: Authorities Turn Sality’s P2P Network Against It to Disrupt Malware Distribution（2026-09-02）: https://thehackernews.com/2026/09/authorities-turn-salitys-p2p-network.html

注記:

• 上記は公開報道と一般に知られたP2Pボットネットの挙動に基づく分析で、技術的詳細の一部は仮説を含みます。貴社環境のテレメトリで裏取りしながら適用することを強く推奨します。
• 本件は“通信を断つ”ことに成功した事案ですが、“感染を断つ”最後の一手は各組織の現場力に委ねられます。ここでの差が、次の再編サイクルに対する耐性の差になります。今こそ、根絶の基本動作を磨き直す好機です。