米国、70万台のコンピュータに影響を与えたQakBotボットネットを解体

The Hacker Newsによると、QakBot はよく知られた Windows マルウェアの一種で、世界中で 70 万台以上のコンピューターを侵害したと推定されており、金融詐欺やランサムウェアの実行を促進しています。

米司法省（DoJ）は、このマルウェアは被害者のコンピューターから削除され、これ以上の被害を防ぐとともに、当局が860万ドル相当の違法な仮想通貨を押収したと発表した。

フランス、ドイツ、ラトビア、ルーマニア、オランダ、英国、米国が参加し、サイバーセキュリティ企業Zscalerの技術支援を受けたこの国境を越えた作戦は、逮捕者は発表されていないものの、サイバー犯罪者が使用するボットネットインフラに対する米国主導の金銭的・技術的妨害としては最大規模となった。

QakBotのボットネット制御モデル

QakBot（別名QBot、Pinkslipbot）は、2007年にバンキング型トロイの木馬として活動を開始し、その後、ランサムウェアを含むマルウェアの感染端末への配布拠点としての役割に移行しました。QakBotが生成したランサムウェアには、Conti、ProLock、Egregor、REvil、MegaCortex、Black Bastaなどがあります。QakBotの運営者は、2021年10月から2023年4月の間に、被害者から約5,800万ドルの身代金を受け取ったとみられています。

フィッシングメールを介して拡散されることが多いこのモジュール型マルウェアは、コマンド実行機能と情報収集機能を備えています。QakBotは、その存在を通じて継続的に更新されてきました。司法省によると、このマルウェアに感染したコンピュータはボットネットの一部であり、犯人は感染したすべてのコンピュータを協調的に遠隔操作できる可能性があります。

裁判所の文書によると、この作戦はQakBotのインフラにアクセスし、ボットネットのトラフィックをFBI管理下のサーバーにリダイレクトすることで、最終的に犯罪者のサプライチェーンを無効化した。サーバーは、侵入したコンピューターにQakBotボットネットからコンピューターを削除するように設計されたアンインストーラーをダウンロードするよう指示し、追加のマルウェアコンポーネントの拡散を効果的に阻止した。

QakBotは時間の経過とともに巧妙さを増し、新たなセキュリティ対策に対応するために戦術を迅速に変更してきました。MicrosoftがすべてのOfficeアプリケーションでマクロをデフォルトで無効化した後、このマルウェアは今年初めにOneNoteファイルを感染経路として利用し始めました。

QakBotの攻撃チェーンにおいて、PDF、HTML、ZIPといった複数のファイル形式が武器化されていることも、その巧妙さと適応性の高さを物語っています。このマルウェアのコマンド＆コントロールサーバーの大部分は米国、英国、インド、カナダ、フランスに設置されており、バックエンドのインフラストラクチャはロシアに設置されていると考えられています。

QakBotは、EmotetやIcedIDと同様に、感染したコンピュータにインストールされたマルウェアの制御と通信に3層サーバーシステムを採用しています。プライマリサーバーとセカンダリサーバーの主な目的は、感染したコンピュータとボットネットを制御する第3層サーバー間の暗号化通信を中継することです。

2023年6月中旬現在、63か国で853台のTier-1サーバーが確認されており、Tier-2サーバーはメインの制御サーバーを隠すためのプロキシとして機能しています。Abuse.chが収集したデータによると、すべてのQakBotサーバーは現在オフラインになっています。

HP Wolf Securityによると、QakBotは2023年第2四半期に18の攻撃チェーンと56のキャンペーンで、最も活発なマルウェアファミリーの一つでした。これは、犯罪グループがネットワーク防御の脆弱性を迅速に悪用して不正な利益を得ようとする傾向を示しています。

ソースリンク: https://thanhnien.vn/my-triet-pha-mang-botnet-qakbot-gay-anh-huong-700000-may-tinh-1852309020729033.htm