ボットネットとは?仕組みからサイバーセキュリティへの影響まで徹底解説

ボットネットの定義:ボットネットとは何か?

ボットネット(botnet)とは、マルウェアを使って多数のコンピューターを連結し、その作成者である「ボットハーダー(bot herder)」が一括して制御する仕組みのことです。ボットハーダーはコンピューターに感染させてボットネットを形成し、それらをまとめて操作することで、大規模なサイバー攻撃の実行、スパムメールの大量送信、フィッシング詐欺キャンペーンなどを行います。

「ボットネット」という言葉は「bot(ロボット)」と「network(ネットワーク)」を組み合わせた造語で、ボットネット内のコンピューターは「ボット」または「ゾンビコンピューター」と呼ばれます。規模の大きなボットネットには数百〜数千台ものコンピューターが含まれることもあり、現代における最も深刻なオンライン脅威の一つとされています。

ボットネットはどのように動作するのか?

ボットネット内のすべてのデバイスは、インターネット経由でボットハーダーと接続されており、ボットハーダーはこれらすべてのコンピューターを操り、さまざまなサイバー犯罪を実行します。インターネットに接続されたほぼすべてのデバイスがボットネットの一部になり得ます。PCやルーターはもちろん、スマートテレビやスマートサーモスタットといったIoT(Internet of Things)機器も例外ではありません。実際、2016年に猛威を振るった「Mirai」ボットネットは、主にIoT機器を標的としていました。

ボットネットが作られる3つの段階

ハッカーがボットネットを作成・利用するには、次の3段階の攻撃プロセスが必要になります。①標的デバイスへの感染、②ボットネットの拡大、③ボットネットの起動です。

1. 標的への感染: ボットハーダーはまず、ボットネット用マルウェアを標的のコンピューターに侵入させる必要があります。ダウンロードとインストールは、多くの場合、マルウェアやソーシャルエンジニアリングの手口を通じて行われます。

   ハッカーは、無害なファイルに見せかけたトロイの木馬型マルウェア、閲覧者を攻撃する悪質な広告(マルバタイジング)が仕込まれたウェブサイト、セキュリティ脆弱性の悪用、あるいはマルウェアをインストールさせるフィッシング攻撃など、さまざまな手法で標的に感染させます。

2. ボットネットの拡大: ボットネットに組み込まれたゾンビコンピューターは、さらに別のデバイスへ感染を広げるための足掛かりとして使われます。一部のボットネットマルウェアは、ネットワーク上の脆弱なデバイスを自動的にスキャンし、見つけ次第感染させることで自己増殖する機能を持っています。

   特に、まだ対策が確立されていないゼロデイ脆弱性を利用された場合、この拡散手法は絶大な威力を発揮します。

3. ボットネットの起動: 新しいボットネットがある程度の規模に達すると、ボットハーダーは感染した全デバイスの総合力を活用し、壊滅的なDDoS攻撃から暗号通貨マイニングまで、あらゆる目的に使用できるようになります。

ボットネットで何ができるのか?

コンピューターやその他のデバイスに感染すると、ハッカーはそのOS(オペレーティングシステム)やファイルに対して管理者レベルのアクセス権を獲得します。この権限を利用して、データの窃取、使用状況の監視、さらにはデバイスの遠隔操作まで可能になります。

ボットネットを支配するボットハーダーがゾンビコンピューターでできることは以下の通りです。

• システムデータの読み書き: ハッカーはゾンビコンピューターのシステムレベルのデータを読み取るだけでなく、改ざんしたり新しいデータを書き込んだりすることもできます。

• 個人情報の収集: ボットハーダーはゾンビコンピューター内のファイルを漁り、パスワードや金融情報などの機密性の高い個人情報を収集できます。

• 被害者の監視: システムレベルのアクセス権があれば、ゾンビコンピューターを使用している人物の行動をすべて把握できます。

• データの送信: 多くのボットネットは大量メール配信に利用されます。スパム用ボットネットが膨大な量の迷惑メールを送信するほか、ボットハーダーはゾンビコンピューターにメール、ファイル、メッセージなどを送信させることが可能です。

• アプリケーションのインストール: ボットネットは、より大規模なマルウェア攻撃の第一段階として機能することがあります。多数のコンピューターへのアクセス権を持つボットハーダーは、ランサムウェア、スパイウェア、アドウェアなどのマルウェアをネットワーク全体に容易に感染させられます。

• 他デバイスへの感染拡大: ゾンビコンピューターは、自身が属するネットワークをスキャンして新たな感染候補を探すことができます。特に、セキュリティ脆弱性を経由してボットネットマルウェアが拡散する場合、この手法は非常に危険です。

こうした理由から、セキュリティツールはボットネット対策の強力な防御手段となります。信頼できるセキュリティソフトは24時間365日デバイスを監視し、マルウェアの兆候を検知することで、攻撃が発生する前に防ぐことができます。

ハッカーはどのようにボットネットを制御するのか?

ボットネットの構造は大きく分けて2種類あります。ボットハーダーから各ゾンビコンピューターへ直接通信を行う「集中型」と、感染したすべてのデバイス間で複数のリンクを張り巡らせる「分散型」です。

• 集中型：クライアント・サーバーモデル

  集中型ボットネットは、従来のネットワークアーキテクチャにおけるクライアント・サーバー構造を利用し、C&C(Command and Control)サーバーからボットネット内の各デバイスと通信します。効率的な仕組みですが、最大の弱点はC&Cサーバーが発見されやすく、無効化されやすいという点です。

  C&Cサーバーが一度遮断されると、ボットハーダーはボットネットとの通信手段を失ってしまいます。

• 分散型:P2Pモデル

  P2P(Peer-to-Peer)型ボットネットはより高度なモデルで、クライアント・サーバー方式を廃し、通信をネットワーク全体に分散させるP2P構造を採用しています。感染した各デバイスが互いに通信できるため、単一の(そして脆弱な)C&Cサーバーが不要になります。

  クライアント・サーバー型と比較して、P2P型ボットネットははるかに破壊が困難です。

ボットネットによる主な攻撃手法

• DDoS攻撃の実行: 分散型サービス拒否(DDoS)攻撃では、ボットハーダーの指示により、ボットネット内の全コンピューターが同時に持続的なトラフィックを特定のサーバーに送りつけます。これにより、ウェブサイトや企業全体のシステムが瞬時にダウンする可能性があります。2019年には、DDoS攻撃によりWikipediaが世界中の複数の国で一時的にアクセス不能になりました。

• スパム・フィッシングキャンペーン: ボットネットは一度に無数のメールを送信できるため、大量メール配信によく利用されます。スパム専用のボットネットが大量の迷惑メールをばら撒く一方で、フィッシング詐欺やその他の詐欺行為に使われるケースもあります。

• 暗号通貨のマイニング: 暗号通貨が主流になるにつれ、ボットハーダーはボットネットをマイニングツールとして利用する傾向を強めています。これは大規模な「クリプトジャッキング(不正マイニング)」であり、得られた利益はすべてボットハーダーの懐に入ります。

• 被害者の監視と個人情報の窃取: すべてのボットネットが他者への攻撃に動員されるわけではありません。一部のボットハーダーはボットネットを休眠状態に保ちながら、被害者の監視やログイン認証情報、金融情報などの機密個人情報の窃取に利用しています。

• 追加マルウェアへの感染: ボットネットは、ランサムウェアなど、より有害なマルウェア攻撃のための即戦力となる標的プールです。ボットネットさえ確立できれば、ボットハーダーは感染済みコンピューターに簡単にランサムウェアを展開できます。

• 不正広告収入の生成: 一般的な手口として、ボットハーダーはウェブサイト上の広告枠を借りた後、ボットネットを組織的に動かして広告を大量に「クリック」させます。クリック1回ごとに報酬がボットハーダーに支払われる仕組みです。

どのようなデバイスがボットネットに組み込まれるのか?

インターネットに接続しているデバイスなら、ボットハーダーがボットネットマルウェアを感染させることができれば、理論上すべてボットネットの一部となり得ます。デスクトップPC、ノートパソコン、スマートフォン、ゲーム機、さらにはスマート家電まで対象になり得ます。

特にスマートデバイスはボットハーダーにとって魅力的な標的です。IoTにおける最大のリスクの一つがセキュリティの脆弱さだからです。多くのメーカーは、スマートフォンやPCに施されているような強固なセキュリティ対策をスマートデバイスに講じていません。また、出荷時の初期パスワードを変更しないまま使い続けるユーザーも少なくありません。

ハッカーはこうしたセキュリティの弱点を突いて、スマートホーム内のデバイスにボットネットマルウェアを仕込むことができます。スマートホームを構築する際やスマートデバイスを購入する際は、ボットネット対策を最優先事項としましょう。

世界的に有名なボットネットの実例

近年、最も破壊的なサイバー攻撃の背後にはボットネットが存在してきました。ここでは、特に悪名高いボットネットをいくつか詳しく紹介します。

Conficker(コンフィッカー)

2008年のピーク時には1,050万台以上のデバイスを支配下に置いたConfickerは、史上最大級のボットネットとして今も語り継がれています。ワーム型のボットネットであるConfickerは、かつてない速度で拡散しました。

ヨーロッパ各国の政府ネットワークにまで到達し、数百万ドル規模の損害を引き起こした後、世界規模での大混乱をもたらす寸前でした。幸いにも、このボットネットがDDoS攻撃に使用されることはありませんでした。現在も世界約50万台のコンピューターに潜伏していると考えられています。

Gameover ZeuS(ゲームオーバー・ゼウス)

ZeuSマルウェアファミリーから派生した暗号化P2P型ボットネットであるGameover ZeuSは、数百万の被害者から銀行の認証情報を盗み出したことで悪名高くなりました。駆逐されるまでに、1億ドル以上の損失を引き起こしたとされています。

2013年には、Gameover ZeuSボットネットがランサムウェア「CryptoLocker」を被害者に感染させるために利用されました。この壊滅的なランサムウェア攻撃は、FBIやEuropol(欧州刑事警察機構)を含む国際合同捜査「Operation Tovar」によって2014年にGameover ZeuSボットネットが停止されるまで、被害者から数百万ドル相当のビットコインを恐喝しました。

Mirai(ミライ)

ルーターやWebカメラなどのLinux搭載デバイスを標的としたMiraiボットネットは、2016年に発見され、複数の著名なDDoS攻撃の犯人として特定されました。Miraiに感染したマシンは、初期設定パスワードを使用しているIoTデバイスをインターネット上でスキャンし、発見次第感染させます。

2016年9月の最初の攻撃波の後、Miraiのソースコードがオンライン上に公開されました。これにより他のマルウェア開発者がその技術を学び、さらに優れたボットネットマルウェアを作り出す結果となりました。

Mēris(メリス)

Mērisボットネットは2021年9月、ロシアのインターネット企業Yandexに対し毎秒2,180万リクエストという記録的な攻撃を仕掛け、セキュリティ業界に衝撃を与えました。Mērisボットネットは約25万台のデバイスで構成されており、同年早くにはWebインフラ大手のCloudflareにも攻撃を行っています。

Mērisボットネットのボットの大部分は、ラトビアのメーカーMikroTik製のルーターなどのネットワーク機器です。過去の攻撃では、ボットネットの作成者が身代金要求に応じなければ攻撃すると脅し、潜在的な標的に接触していたことも判明しています。

自分のパソコンがボットネットに加担しているかを見分ける方法

ボットネットは通常、大幅な処理能力を消費しないため、自分のコンピューターがボットネットの一部になっているかどうかを見抜くのは容易ではありません。しかし、以下のような兆候から判断することは可能です。

• 突然のインターネット速度低下や帯域幅の急増： スパムメールの送信でもDDoS攻撃でも、帯域幅はボットネットにとって重要な資源です。帯域幅の急激な増加や通信速度の低下は、バックグラウンドでボットネットが稼働している兆候かもしれません。スマートホームデバイス内のボットネットマルウェアの兆候でもあります。

• 原因不明のシステム変更： ボットハーダーはシステムファイルを改ざんできます。心当たりのない変更に気づいた場合、第三者が手を加えた可能性があります。

• プロセスを終了できない： ボットネットマルウェアは、活動に必要なプログラムの終了を妨げることがあります。どうしても閉じられないアプリがある場合、ボットネットが動いている可能性があります。

• OSをアップデートできない： 多くのボットネット(および他の種類のマルウェア)は、OSやソフトウェアの脆弱性を利用してデバイスに感染します。一部のボットネットマルウェアは、システム内に留まり続けるためにOSのアップデートを阻止することがあります。

• タスクマネージャーに不明なプロセスが表示される： Windowsの場合、タスクマネージャーには現在実行中のすべてのプロセスが表示されます。見覚えのない項目があれば、すぐに調べてください。ボットネットマルウェアの可能性があります。

• ウイルス対策ソフトがボットネットマルウェアを検知： 高品質な無料ウイルス対策ソフトの多くは、優れたボットネットスキャナーとして機能します。ボットネットやその他の脅威をスキャンし、検出された場合はマルウェアを除去します。

ボットネットから身を守るための対策

• 常にソフトウェアを最新の状態に保つ： ソフトウェアアップデートには、既知の脆弱性に対するセキュリティパッチが含まれています。こまめにアップデートを行い、ボットネットマルウェアの侵入を防ぎましょう。

• 予期しない添付ファイルを開かない： 添付ファイルは、知り合いから受け取ると予期していたものだけをダウンロード・開封してください。知人からの添付ファイルでも、相手がハッキングされていればフィッシングの餌になっている可能性があります。

• 怪しいリンクをクリックしない： フィッシングメールには、マルバタイジングやドライブバイダウンロードによってマルウェアを仕込む悪意のあるウェブサイトへのリンクが含まれていることがよくあります。

• 怪しいウェブサイトを避ける： ウェブサイトの安全性を確認する方法を学びましょう。信頼できないと感じたら、ウィンドウやタブをすぐに閉じてください。

• P2Pダウンロードサービスを利用しない： torrentなどのP2Pダウンロードには、ボットネットマルウェアが含まれている場合があります。メディアは正規で信頼できる提供元から入手しましょう。

• 新しいデバイスのセットアップ時にパスワードを変更する： 新しいルーター、Webカメラ、IoTデバイスを設置したら、直ちにログイン認証情報を変更してください。これにより、Miraiのようなボットネットマルウェアが初期パスワードを突いて侵入するのを防げます。

• ファイアウォールを活用する： 優れたファイアウォールは、既にインストールされたボットネットマルウェアからC&CサーバーやP2Pボットネット上の他デバイスへの接続をブロックします。

• 強力なパスワードを使用する： 一部のボットネットマルウェアは、パスワードを総当たり攻撃(ブルートフォース)で解析しようとします。長く独自性のあるパスワードやパスフレーズを作成すれば、この種の攻撃への耐性が格段に向上します。

• 二要素認証(2FA)を有効にする： 2FAは、パスワードが漏洩した場合でも、ボットネットマルウェアがデバイスやアカウントに侵入するのを防ぎます。

• ウイルス対策ソフトを導入する： 信頼できるウイルス対策ツールは、無料のボットネットスキャン・除去機能を提供しながら、他の種類のマルウェアからも保護してくれます。

セキュリティツールでボットネットを予防・駆除する

ボットネットは圧倒的に、セキュリティが脆弱なデバイスを標的とします。保護されていないIoTデバイスやルーター、ソフトウェアの脆弱性や推測されやすいパスワードを持つPCやノートパソコンなどがその例です。強力なセキュリティツールを味方につければ、ボットネットマルウェアやその他のオンライン脅威から十分に身を守れます。

信頼性の高いセキュリティソフトは、ボットネットの作成者がフィッシングキャンペーンで使用するような悪意あるメール添付ファイルやウェブサイトを自動的に検知・ブロックします。さらに24時間365日のシステム監視機能により、ボットネットマルウェアがデバイスを狙う前に防御体制を整えられます。無料のボットネット対策・駆除ツールを今すぐ導入し、その他のセキュリティ・プライバシー機能も併せて活用しましょう。