当局がSalityのP2Pを逆手に取り配信遮断——国際協調×民間連携で「長寿」ボットネットに実運用レベルの楔を打った件です

今日の深掘りポイント

• P2Pを止めるためにP2Pを使う——従来の「C2遮断」「ドメイン差し押さえ」に続く第三のテイクダウン手法が実証段階に入ったことの意味が大きいです。
• テイクダウンは通信の無効化に留まり、ホスト上の感染は残存します。運用現場は「ネットワーク静脈遮断後の臓器摘出（根絶）」を迅速に計画・実行する局面です。
• 国境を越えた法執行×民間（CrowdStrike、Shadowserver）の運用連携は、犯行コストを上げるだけでなく、攻撃者のプロトコル設計を変えさせる抑止圧になります。
• Salityは2003年から続くWindowsファイルインフェクタです。長寿マルウェアの粘着性は「古い資産や周辺機器が潜在的な増殖源」という組織の技術的負債を照射します。
• メトリクス観点では、確度と信頼性が高く、新規性とポジティブ要素も強い一方、即効性と実行可能性は組織側の後始末（根絶計画）に依存します。運用の優先度は「見える化→封じ込め→クリーンビルド」の順に置くべきです。

はじめに

米司法省と欧州の複数当局が、長年くすぶり続けてきたP2Pボットネット「Sality」の配信網を、P2P特性そのものを逆手に取って遮断したと発表しました。民間のCrowdStrikeとShadowserver Foundationが連携し、ネットワーク内のピアを隔離することで、感染ホストが新たな命令やペイロードを取得できない状態に導いたとされています。SalityはWindows実行ファイルを感染させる典型的なファイルインフェクタで、認証情報窃取、DDoS、他マルウェアの配布などに長らく使われてきました。

このテイクダウンは、信頼性の高い情報に基づく実行であり、国際協調の持つ即効性を示す一方、最前線の現場が直面するのは「感染そのものは残っている」という現実です。今回の報を単なる朗報で終わらせず、各組織が自らの環境に溜まった「感染残滓」をどれだけ迅速に可視化・除去できるかが、次の一手を決める鍵になります。

深掘り詳細

事実関係の整理（確認できるポイント）

• 2026年8月31日、米司法省はSalityボットネットの配信網遮断作戦を公表しました。米国、ブルガリア、ハンガリー、ルーマニアの当局が、CrowdStrikeとShadowserver Foundationと協働したと報じられています。
• 当局はSalityのP2Pアーキテクチャを逆手に取り、ネットワーク内のピアを隔離することで、感染マシンが新たな指示やマルウェアを受け取れない状態に誘導したとされています。
• Salityは2003年から活動が観測されるWindowsファイルインフェクタで、感染ホストは他マルウェア配布、認証情報窃取、DDoSなどの用途に転用されてきました。
• 感染ホストは少なくとも1.5万台以上に達していたとされ、暗号通貨アドレスを置換するクリッパー（EggJagger）経由で少なくとも15万ドルが盗まれたと報じられています。
• 上記は二次情報としてThe Hacker Newsの報告に基づく記述です。一次ソース（当局のプレスリリース等）の追加確認は今後も継続すべきです。
  • 参考: The Hacker News: Authorities Turn Sality's P2P Network Against It to Disrupt Malware Distribution (2026-09-02)

インサイト（何が新しく、何が残るのか）

• P2Pを「遮断」ではなく「誘導・分断」する発想です。中央集権C2の差し押さえやシンクホールでは通用しないP2P型に対し、ピア関係を操作してボット群を“孤島化”させることで、実質的に再配布とコマンド流通を枯渇させた点が注目です。技術的には、プロトコル準拠のピアとして振る舞い、更新・隣接情報・信頼関係（たとえばピアリストや鍵流通）を制御するアプローチが想定されますが、詳細は公表情報待ちとします（この点は仮説です）。
• 「成功の定義」を見誤らないことが重要です。今回の作戦は通信のサプライチェーンを遮断したに過ぎず、端末上の不正改変済みPEやレジストリ永続化、横展開に使われた痕跡は依然として残存します。したがって組織側の仕事はここからが本番で、根絶計画と再感染抑止の運用設計が問われます。
• 抑止の副作用として、攻撃者側はP2P設計の見直しに動くはずです。具体的には、鍵管理の強化、ピア選別の厳格化、トランスポート多層化（Tor/匿名プロキシ併用）、libp2p等の汎用スタック活用、さらにはブロックチェーンや公開ストレージを混ぜたハイブリッド制御などが次の一手として想定されます（この点は仮説です）。テイクダウンは終着点ではなく、設計ゲームの継続に過ぎないのです。
• 運用面の学びは「第三者の強制力を織り込むIR設計」です。法執行による一時的な“静脈遮断”を前提に、数日〜数週間の通信抑止ウィンドウで一気に根絶・更生（リビルド）をやり切るランブックを、平時から整備しておくべきです。

脅威シナリオと影響

• 想定シナリオ1（継続汚染）:

  • 事象: 既存に感染したSalityホストが、今回の分断にもかかわらず社内で横展開やローカル増殖を継続します（共有フォルダ、リムーバブルメディア経由など）。
  • 影響: 公的ネット経由の新規指令は止まっても、内部拡散によりビジネスアプリのPEが感染、稼働不安定化や業務停止、後続ペイロードの温存が起きます。
  • 緩和: 内部セグメントでのE/W監視、実行ファイルの改変検知、リムーバブルメディア統制の強化が必要です。

• 想定シナリオ2（後続ペイロードの自活化）:

  • 事象: 既に展開済みのクリッパーやステイラーが独立稼働し、C2の代替チャネル（例えばWebプロトコルやメール、クラウドストレージ）でデータ流出を継続します（仮説）。
  • 影響: 金融詐欺、アカウント乗っ取り、内部情報の断続的な漏洩が続きます。
  • 緩和: ブラウザ・ウォレット周辺のテレメトリ監視、送金プロセスの多要素検証、DLP/Proxyの振る舞い検知の適用が必要です。

• 想定シナリオ3（攻撃者のプロトコル刷新）:

  • 事象: 攻撃者がP2Pプロトコルを刷新し、より厳格なピア認証や暗号鍵ローテーションを導入します（仮説）。
  • 影響: 次世代のP2P型は、法執行や研究者の観測・介入コストをさらに引き上げます。
  • 緩和: 早期警戒のための脅威インテリジェンス購読、ハニーネット／サンドボックスでのピア観測、ISP連携の測定インフラ整備が有効です。

• MITRE ATT&CKに沿った仮説マッピング（Salityと後続ツールの一般像）

  • 初期侵入（Initial Access/Execution）:
    • ユーザー実行（メール添付・ダウンロードの実行）、リムーバブルメディア経由の実行
  • 永続化・権限昇格（Persistence/Privilege Escalation）:
    • レジストリRunキー/スタートアップ、サービス作成、既存PEの改変によるハイジャック
  • 防御回避（Defense Evasion）:
    • パッキングや難読化、正規ファイルへの感染による目くらまし
  • 認証情報アクセス（Credential Access/Collection）:
    • ブラウザ/ウォレット情報の窃取、キーロギング、クリップボードアドレス置換（クリッパー）
  • 横展開（Lateral Movement）:
    • 共有フォルダ/管理共有経由、リムーバブルメディア増殖
  • コマンド&コントロール（Command and Control）:
    • P2Pベースのカスタムプロトコル、フォールバックでのWeb/メール/クラウド活用（仮説）
  • 影響（Impact）:
    • DDoS参加、二次マルウェアの拡散、業務用PEの破損による可用性低下

上記は過去の観測知見に基づく一般化であり、今回作戦の技術詳細公開前につき一部は仮説であることに留意してください。

セキュリティ担当者のアクション

優先度順の実務アクションを、組織規模や可視化レベルに応じて段階的に実行することを推奨します。

• すぐにやること（可視化と封じ込め）

  • ネットワーク観測:
    • フロー/プロキシ/センサーで、短時間に多数の外部ピアへランダム高ポートで疎通するWindowsホストを抽出します。P2P的な相互接続（対称的な入出力）が継続する端点を要注意として隔離します。
  • EDRハンティング:
    • 最近改変された.exe/.dll数が異常に多い端点、Explorerやブラウザ子プロセスの不審なファイル書き込み、Runキー・サービス追加のスパイクを相関させます。
  • 影響範囲の止血:
    • 感染疑い端点をネットワークから即時隔離し、共有フォルダとリムーバブルメディアの利用を一時的に制限します。内部拡散の鎖を断つことが第一です。

• 根絶の計画と実行（短期集中ウィンドウでやり切る）

  • ファイルインフェクタの原則は「再インストール優先」です。業務影響を評価しつつ、標準イメージからのクリーンビルド（OS/アプリ再配布）を既定路線にします。サーバ群はパッチレベルとアプリ整合性の検証を並行させます。
  • バックアップの健全性確認を前提に、リストア前にマルウェアスキャンとハッシュ整合を取り、感染バイナリの持ち込みを防ぎます。
  • ブラウザ・ウォレット・SSHキー等のシークレットは原則全交換とし、SSO・MFA再登録をガイドライン化します。金融系送金フローは一時的に四眼原則を強化します。

• 再発防止（構造的対策）

  • 実行制御: WDAC/AppLockerなどのホワイトリスト実行、ASRルールでの不要実行ブロックを段階導入します。
  • 外付けデバイス統制: リムーバブルメディアの使用許可制、スキャンの義務化、オートラン禁止を徹底します。
  • 開発・配布パイプライン: 社内配布バイナリに対する署名検証と改ざん検出をCI/CDに組み込みます。
  • テレメトリ基盤: 端点のファイル改変イベント（例: 大量のPEヘッダ更新）とネットワークのピア行動を相関可視化できるよう、データモデルを整理します。
  • 法執行との連絡線: テイクダウン発表から72時間を「根絶ウィンドウ」と定義し、CIRT/法務/広報の一体運用を回せる連絡線を平時から整えます。

• 脅威インテリジェンス運用

  • 今回のSality関連IOCや行動シグネチャは、二次情報だけでなく一次発表（当局・関与企業のアドバイザリ）が出次第、検知器に迅速反映します。
  • 攻撃者のプロトコル刷新に備え、P2P型C2の一般的な挙動検知（多数ピア、DHT様の問い合わせパターン、外向きUDP/TCPの混用）をルール化します。

最後に一言です。今回の作戦は、古参のP2Pボットに対しても「通信層からの実運用的な抑止」が成立することを示しました。ただし、それは現場の後始末を免除する魔法ではないです。むしろ、法執行が作ってくれた“短い静けさ”の間にどこまで整備と根絶をやり切れるかで、組織の将来の被害曲線が決まります。準備が整っているチームほど、この静けさを次の優位に変えられるはずです。

参考情報

• The Hacker News: Authorities Turn Sality's P2P Network Against It to Disrupt Malware Distribution (2026-09-02)