20年以上続いたSalityボットネットを国際共同で妨害　米司法省・FBI・CrowdStrikeら、P2P指令網を遮断

米司法省は2026年9月1日、20年以上にわたり活動してきたマルウェア／ボットネット「Sality」のインフラを妨害する国際共同作戦を実施したと公表しました。

作戦には米司法省、FBI、米国防総省監察総監室のDefense Criminal Investigative Service（DCIS）、ブルガリア、ハンガリー、ルーマニアの法執行機関、Europol、Eurojustのほか、民間からCrowdStrikeとShadowserver Foundationが参加しました。

CrowdStrikeは8月31日、SalityのP2P（Peer-to-Peer）通信網に対するシンクホール作戦を実施し、感染端末を運営者の指令網から切り離したと説明しています。米当局はSalityに関連する米国内のドメインを差し押さえ、欧州でも関連ドメインへの措置が実施されました。

CrowdStrikeによると、作戦直前のSalityは世界で1万5,000台超の感染端末へ追加のマルウェアを配布できる状態でした。Europolは、これまでに1,100万件を超えるユニークIPアドレスがSalityのインフラと関連付けられ、ピーク時には運営者が最大100万台の感染端末へアクセス可能だったとしています。

Salityは2003年に初めて確認され、認証情報窃取、スパム配信、プロキシ化、ネットワーク攻撃、DDoS、暗号資産窃取など、時期によって異なるマルウェアを追加配布するための基盤として使われてきました。

Reutersは、米司法省がSalityをロシア拠点の活動と説明したと報じています。一方、9月1日に公開された米司法省のプレスリリース本文では拠点国は記載されておらず、Salityの運営者も公表されていません。本記事では、ロシアとの関係はReutersの報道として区別して扱います。

Salityボットネット妨害作戦のサマリー

• 米司法省は2026年9月1日、Salityボットネットに対する国際共同の妨害作戦を公表しました。
• 実際のP2Pシンクホール作戦は8月31日にCrowdStrikeなどが実施しました。
• 米司法省、FBI、DCIS、ブルガリア、ハンガリー、ルーマニアの法執行機関が参加しました。
• Europol、Eurojust、CrowdStrike、Shadowserver Foundationも作戦を支援しました。
• 米当局はSality関連ドメインを米国内で差し押さえ、欧州でも関連ドメインへの措置が行われました。
• Salityは2003年に初めて確認されたファイル感染型マルウェアで、20年以上活動してきました。
• CrowdStrikeによると、作戦直前には1万5,000台超の感染端末へ追加ペイロードを配布可能でした。
• Europolは、累計1,100万件超のユニークIPアドレスがSalityインフラと関連付けられたとしています。
• Europolによると、ピーク時には運営者が最大100万台の感染端末へアクセス可能でした。
• Salityは中央C2に依存しないP2P型ボットネットで、摘発や停止に強い構造を持っていました。
• CrowdStrikeはP2P通信網をシンクホールへ誘導し、感染端末を運営者の指令系統から隔離しました。
• Salityは認証情報窃取、スパム、プロキシ、ネットワーク攻撃、DDoS、暗号資産窃取などの追加マルウェアを配布してきました。
• CrowdStrikeは、過去8年間の主要ペイロードとして暗号資産ウォレットアドレスを書き換える「EggJagger」を確認しています。
• CrowdStrikeはEggJaggerによる暗号資産窃取を少なくとも約1,210万ルーブルと推定しています。
• Sality運営者の身元は公表されていません。
• Reutersは米司法省がSalityをロシア拠点と説明したと報じていますが、公開された司法省リリース本文にはロシアとの記載はありません。
• ShadowserverはISPやCSIRTと連携し、感染端末の特定と被害者通知、修復支援を進めています。

項目	内容
公表日	2026年9月1日（米司法省、CrowdStrike）、9月2日（Europol）
作戦実施日	2026年8月31日
対象	Salityマルウェア／P2Pボットネット
初確認	2003年
活動期間	20年以上
作戦直前の感染規模	1万5,000台超（CrowdStrike）
累計関連IP	1,100万件超（Europol）
ピーク時の規模	最大100万台の感染端末へアクセス可能（Europol）
主な機能	追加マルウェア配布
過去の用途	認証情報窃取、スパム、プロキシ、ネットワーク攻撃、DDoS、暗号資産窃取
妨害手法	P2Pシンクホール、関連ドメインへの法執行措置
米国側	DOJ、FBI、DCIS
欧州側	ブルガリア、ハンガリー、ルーマニア、Europol、Eurojust
民間	CrowdStrike、Shadowserver Foundation
運営者	公表されていません
ロシアとの関係	Reutersは米司法省がロシア拠点と説明したと報道。公開DOJリリース本文では確認できず

Salityは2003年から続くファイル感染型マルウェア

米司法省によると、Salityは2003年から感染端末へマルウェアを導入し、米国内外の被害者に対する暗号資産窃取やサイバー攻撃を可能にしてきました。

CrowdStrikeは、Salityを従来型のボットネットから高度なP2Pボットネットへ発展したファイル感染型マルウェアと説明しています。

SalityはWindowsの実行ファイルへ自身を付加するポリモーフィック型のファイルインフェクターとして広がり、ネットワーク共有、リムーバブルメディア、ファイル共有などを介して感染を継続させる特徴を持っていました。

感染端末同士が直接通信するP2P構造を採用したことで、単一の中央C2サーバーを停止するだけではネットワーク全体を無力化できませんでした。

CrowdStrikeによると、作戦直前まで「version 3」と「version 4」と呼ばれる2つの独立したP2Pネットワークが稼働していました。両者は同じコードベースと同じ脅威アクターによって運用されていたものの、互換性のないプロトコルと異なる暗号鍵を使用していました。

累計1,100万件超のIPがSalityインフラに関連

Salityの規模については、現在活動中の感染端末数と、長年にわたる累計感染規模を分けて考える必要があります。

CrowdStrikeは、8月31日の妨害作戦時点で、Salityが世界の1万5,000台超の感染端末へ追加のマルウェアを配布できる状態だったとしています。

一方、EuropolはSalityに関連付けられたユニークIPアドレスがこれまでに1,100万件を超えると公表しました。

さらに、Salityが最も大きかった時期には、運営者が最大100万台の感染端末へアクセスできたとしています。

したがって、「現在1,100万台が感染している」という意味ではありません。

1万5,000台超は作戦時点の活動規模、1,100万件超は長期間にわたり観測されたユニークIPの累計、最大100万台は過去のピーク規模として区別する必要があります。

Salityの目的は追加マルウェアの配布

CrowdStrikeによると、Sality本体の中心的な役割は、感染端末へ追加の悪性ペイロードを配布することでした。

過去には、

• 認証情報窃取
• スパム配信
• プロキシサービス
• ネットワークへの攻撃
• DDoS
• 暗号資産窃取

など、さまざまな用途のマルウェアを配布してきました。

このため、Sality感染そのものだけで被害範囲を判断することはできません。

同じSality感染端末でも、その後にどの追加ペイロードが配布され、どの時点まで感染が継続していたかによって影響は異なります。

過去8年間は暗号資産窃取ツール「EggJagger」を主に配布

CrowdStrikeによると、Salityが過去8年間に主として配布していたのが「EggJagger」です。

EggJaggerはクリップボードを監視し、利用者がコピーしたBitcoinやEthereumのウォレットアドレスを、攻撃者側のアドレスへ置き換えるクリップジャッキング型のマルウェアです。

利用者が置き換えに気付かず送金すると、本来の送金先ではなく攻撃者側のウォレットへ暗号資産が送られます。

CrowdStrikeは、この手法だけでSality運営者が少なくとも約1,210万ルーブル相当の暗号資産を盗んだと推定しています。

ただし、これはEggJaggerについてCrowdStrikeが確認できた範囲の推計であり、Salityが20年以上にわたり生み出した犯罪収益全体を示す金額ではありません。

ウクライナのフォーラムなどを狙ったDDoSも確認

CrowdStrikeの調査では、Salityは主として金銭目的で使われてきた一方、過去に複数のDDoS攻撃も実行しています。

2016年にはアラビア語圏の金融関連フォーラム、2022年2月にはウクライナ・ハルキウの地域フォーラム、2023年にはロシアの暗号資産交換サービスを狙ったDDoSが確認されています。

2022年の攻撃は、ロシアによるウクライナ全面侵攻開始翌日の2月25日に発生し、ハルキウでの軍事行動についてリアルタイムで議論していたフォーラムが対象でした。

CrowdStrikeは、この活動について愛国的動機と整合する可能性を指摘しています。

ただし、これだけでSalityをロシア政府や特定国家の支援を受けたアクターと断定することはできません。

P2P型のため従来のC2停止では無力化しにくかった

Salityが20年以上存続できた大きな理由がP2P構造です。

通常のボットネットでは、運営者が管理するC2サーバーへ感染端末が接続し、命令を受け取ります。

この場合、C2ドメインやサーバーを差し押さえたり停止したりすれば、ボットネット全体の指令系統を切断できる可能性があります。

Salityは感染端末同士が直接通信するため、単一のC2へ依存していませんでした。

CrowdStrikeは、SalityのP2P構造について「単一障害点がない」ことが、長期間にわたり摘発への耐性を維持した理由の一つだと説明しています。

CrowdStrikeはSalityの仕組み自体を逆手に取って遮断

8月31日の作戦では、CrowdStrikeがSalityのP2Pネットワークに対するシンクホールを実施しました。

CrowdStrikeによると、Salityの感染端末は、ネットワークへ正しく応答する相手を正規のP2P参加者として受け入れる一方、暗号学的な相互認証や許可リストを備えていませんでした。

妨害作戦ではこの特性を利用し、感染端末が保持するP2Pネットワーク情報を段階的にシンクホール側へ置き換えることで、運営者側のネットワークから隔離しました。

隔離された端末は、追加ペイロードの取得先情報や新たなファイルを受信できなくなります。

これはSalityの感染端末からマルウェア本体を自動的に削除する措置ではありません。

ボットネット運営者からの新たな指令・追加ペイロード配布を遮断する措置であり、感染端末側には個別の修復が必要です。

米司法省とFBIは関連ドメインを差し押さえ

P2Pネットワークへの技術的な妨害と並行して、法執行機関はSalityのインフラに対する措置を実施しました。

米司法省、FBI、DCISは米国内のSality関連ドメインを差し押さえました。

ブルガリア、ハンガリー、ルーマニアの法執行機関も、欧州でホストされていたSality関連ドメインに対する措置を実施しています。

CrowdStrikeは、Salityが追加ペイロードの取得に利用していたURLについても国際法執行機関と連携して停止したと説明しています。

これにより、P2Pネットワークに古い配布指示が残っている感染端末についても、新しいマルウェアを取得しにくくする狙いがあります。

Shadowserverが感染端末の通知・修復を支援

米司法省によると、Shadowserver FoundationはISPやCSIRTと連携し、Sality感染端末の特定、被害者への通知、修復支援を進めています。

P2Pネットワークを妨害しても、感染端末上からSalityが自動的に消えるわけではありません。

感染端末が組織内に残れば、

• ローカル上の感染ファイル
• 過去に追加配布された別マルウェア
• 窃取済み認証情報
• 改変された設定

などの影響が残っている可能性があります。

そのため、通知を受けた組織はネットワーク遮断だけでなく、感染端末そのものの調査と修復が必要です。

CrowdStrikeが防御側向けの確認用IPを公開

CrowdStrikeは、妨害後のSality感染端末がCrowdStrike管理のシンクホールへ通信する状態になっているとして、組織のネットワークログやエンドポイントテレメトリで確認できる「lighthouse」IPアドレスを公開しています。

公開されたアドレスは 188.166.101[.]148 です。

CrowdStrikeは、このIPへのUDP通信が確認された場合、Sality感染を示すため修復が必要だとしています。

このIPは攻撃インフラではなく、今回の妨害作戦で感染端末を把握するために使われるシンクホール側のアドレスです。

防御側では、単に通信をブロックするだけではなく、通信元端末を特定し、Salityや追加ペイロードの有無を調査する必要があります。

「ロシア拠点」はReuters報道、公開一次資料では確認できず

Reutersは今回のSality作戦について「ロシアのサイバー犯罪活動」と報道しています。

Reutersによると、米司法省はSalityがロシアを拠点としていたと説明しました。

一方、9月1日に米司法省が公開した「Sality Malware Disrupted in International Cyber Takedown」の本文には、ロシアを拠点としていたとの記載は確認できません。

CrowdStrikeとEuropolの公開資料でも、Sality運営者の実名や国籍は公表されていません。

CrowdStrikeの調査では、EggJaggerによる暗号資産窃取額をルーブル建てで分析しているほか、ロシアの暗号資産交換サービスを攻撃した事例なども確認されていますが、これらだけで運営者の国籍や所在地を確定することはできません。

したがって、本記事では「ロシア拠点」を公式発表済みの確定事項とはせず、「Reutersは米司法省がそう説明したと報じている」と区別しています。

運営者は依然として公表されず

今回の国際作戦では、Salityインフラの大部分が妨害されましたが、運営者の身元は公表されていません。

Reutersに対し、Shadowserver FoundationのDavid Watson氏は、次に注目すべき点はSalityの作成者がボットネットの制御を取り戻す、あるいは再構築しようとするかどうかだと指摘しています。

CrowdStrikeは、今回の妨害によりSalityの運営者が感染端末へ新たな指令を送れない状態になったとしています。

ただし、運営者そのものが拘束・起訴されたとの発表ではありません。

そのため、「Sality組織を完全摘発」「運営者を逮捕」といった表現はできません。

長寿命ボットネットの「停止」と「根絶」は別

今回の措置によって、SalityのP2P指令網は大きく妨害されました。

一方、ボットネットの妨害と感染端末からのマルウェア根絶は別です。

Salityはファイル感染型マルウェアであり、感染した実行ファイルや追加ペイロードが個々の端末に残っている可能性があります。

また、過去に認証情報窃取型マルウェアが配布されていた場合、すでに窃取されたパスワードやセッション情報は、ボットネット停止後も悪用される可能性があります。

組織側では「国際共同作戦で停止したから対応不要」と判断せず、感染端末を個別に確認する必要があります。

情報システム部門への示唆

Salityは新しいマルウェアではありません。

2003年から存在し、現在のランサムウェアや情報窃取型マルウェアと比べると「古い脅威」に見える一方、2026年まで世界で1万5,000台超へ新たなペイロードを配布できる状態を維持していました。

この事例は、古いマルウェアでも企業ネットワーク内に長期間残り続ければ、新しい攻撃の入口として機能し続けることを示しています。

情報システム部門では、

• CrowdStrikeが示したシンクホール通信の確認
• Sality検知履歴の再確認
• 感染端末の隔離
• ファイル感染範囲の調査
• 追加マルウェアの有無
• 不審なプロキシ通信
• 認証情報窃取の可能性
• 管理者・利用者パスワードの再設定要否

を確認する必要があります。

特に、Salityのようなファイルインフェクターはネットワーク共有やリムーバブルメディアを介して感染が広がる可能性があるため、単一端末の駆除だけで完了しない場合があります。

また、今回の妨害では、技術企業によるP2Pシンクホール、米司法省・FBIによるドメイン差し押さえ、欧州各国当局によるインフラ措置、Shadowserverによる被害者通知を組み合わせています。

セキュリティ対策Labでは、同様に法執行機関と民間企業が連携して大規模な悪性インフラを妨害した事例として、2026年7月のNetNut（Popa）摘発も取り上げています。

Google、200万台規模のレジデンシャルプロキシ網NetNut（Popa）を摘発

ボットネット対策では、運営者の摘発だけでなく、C2やP2Pネットワーク、ドメイン、配布インフラ、感染端末をそれぞれ分断する多面的な措置が重要になっています。

出典

• Sality Malware Disrupted in International Cyber Takedown – U.S. Department of Justice
• Peer Pressure: Inside the Sality Botnet Disruption Operation – CrowdStrike
• Global public-private operation disrupts Sality botnet active for two decades – Europol
• Russian cybercrime operation being dismantled after two decades, US officials and CrowdStrike say – Reuters
• Google、200万台規模のレジデンシャルプロキシ網NetNut（Popa）を摘発 – セキュリティ対策La