Kelihos ボットネット

KelihosボットネットはHluxとしても知られ、主にスパムやビットコインの盗難に関与するボットネットです。^[1]

Kelihos ボットネットは、2010 年 12 月頃に初めて発見されました。^[2]研究者は当初、ボットの手口とソース コードの類似性から、StormまたはWaledacボットネットの新しいバージョンを発見したのではないかと疑っていましたが^{[3] [4]}、ボットネットの分析により、それは新しい、感染したコンピューターが 45,000 台で、1 日に推定40 億件のスパム メッセージを送信できるボットネットであることが判明しました。 ^{[5] [6]} 2011 年 9 月、^[7] Microsoft は「Operation b79」というコード名で呼ばれる作戦でボットネットを閉鎖しました。^{[5] [8]}同時に、Microsoft は、ボットネットが使用した 3,700 のサブドメインを発行したことで、Dominique Alexander Piatti、dotFREE Group SRO、および 22 人のJohn Doe被告に対して、ボットネットへの関与の疑いで民事訴訟を起こしました。^{[8] [9]}これらの告訴は、マイクロソフトが被告らがボットネット管理者を故意に支援していなかったと判断したため、後に取り下げられた。^{[10] [11]}

2012年1月、ボットネットの新しいバージョンが発見されました。これはKelihos.bまたはバージョン2と呼ばれることもあり、^{[1] [6] [7]、}推定11万台の感染コンピュータで構成されていました。^{[1] [12]この同じ月に、マイクロソフトは、元ITセキュリティ専門家であるロシア人のアンドレイ・サベルニコフを、Kelihosボットネットの}ソースコードの作成者であるとして告訴しました。^{[11] [13] [14]ボットネットの2番目のバージョン自体は、シンクホール化によって}2012年3月にいくつかの民間企業によってシャットダウンされました。シンクホール化とは、企業がボットネットを制御しながら、元のコントローラーを遮断する手法です。^{[2] [15]}

ボットネットの第2バージョンのシャットダウンに続いて、新しいバージョンが4月2日には早くも登場したが、このボットネットが無効化されたバージョン2ボットネットの単なる残骸なのか、それともまったく新しいバージョンなのかについては研究グループの間で意見が分かれている。^{[16] [17]}このバージョンのボットネットは現在、推定7万台の感染したコンピュータで構成されている。Kelihos.cバージョンは主にFacebook経由でコンピュータに感染し、ウェブサイトのユーザーに悪意のあるダウンロードリンクを送信します。クリックすると、 Fifesocというトロイの木馬がダウンロードされ、コンピュータをボットネットの一部であるゾンビに変えます。 ^[18]

2015 年 11 月 24 日に Kelihos ボットネット イベントが発生し、ブラックリストに登録された IP の誤検知が広範囲に発生しました。

2015年11月24日 誤検知が蔓延

本日早朝、非常に大規模な Kelihos ボットネット イベントが発生しました。大規模なイベントでは、多くの電子メール インストールで 20% を超える Kelihos スパムが見られ、受信メールの量が 500% も急増するケースもあります。これは通常、珍しいことではありません。CBL/XBL は、このような大規模な Kelihos スパムの急増に何年もの間、毎日のように対処してきました。

このメールは米国連邦準備銀行からのものとされ、「米国連邦電信送金および ACH オンライン支払い」の制限について言及している。通知自体が偽物であるだけでなく、添付された Excel スプレッドシート (.xls) には、Windows 実行可能ウイルス (おそらく Dyreza またはDridexマルウェア) をダウンロードするためのマクロ命令 (ダウンローダー) が含まれていた。

残念ながら、CBLが最初に導入した検出ルールは詳細が不十分で、多くのIPアドレスが誤ってリストされていました。」^[19]

2018年2月5日に公開された宣誓供述書は、ロシアのスパム王を裁判にかける上でのアップルの意外な役割を明らかにした。ピーター・レヴァショフは「Severa」という別名でKelihosボットネットを運営し、スパマーや他のサイバー犯罪者にアクセス権を貸し出していたとされている。しかし、レヴァショフが匿名性を保つために多大な努力を払ったにもかかわらず、裁判記録によると、連邦捜査官は2016年5月20日から彼のiCloudアカウントを監視し、逮捕につながる可能性のある重要な情報を集めていた。連邦のiCloud令状が発効していれば、当局はアカウントへのログインに使用されたIPアドレスの最新記録を入手できたはずで、彼がスペインのバルセロナで休暇を過ごしていたことは容易に察知できたはずで、米国法執行機関の要請により逮捕され、起訴のため米国に引き渡された。^[20]

Kelihos ボットネットは、いわゆるピアツーピアボットネットであり、個々のボットネット ノードがボットネット全体のコマンド アンド コントロール サーバーとして機能することができます。従来の非ピアツーピア ボットネットでは、すべてのノードが限られたサーバー セットから指示を受け取り、「作業」します。これらのサーバーが削除または停止されると、ボットネットは指示を受け取らなくなり、事実上シャットダウンします。^[21]ピアツーピア ボットネットは、すべてのピアがボットネット全体に指示を送信できるようにすることでそのリスクを軽減し、シャットダウンを困難にしようとします。^[2]

ボットネットの最初のバージョンは主にサービス拒否攻撃と電子メールスパムに関与していましたが、ボットネットのバージョン2ではビットコインウォレットを盗む機能とビットコイン自体を採掘するプログラムが追加されました。^{[2] [22]}スパム機能により、ボットネットはユーザーにマルウェアリンクを送信してトロイの木馬に感染させることで拡散しますが、後のバージョンは主にソーシャルネットワークサイト、特にFacebookを介して拡散します。^{[16] [23]} Kelihosスパムのより包括的なリストは、次の研究論文にあります。^[24]

2018年2月2日、米国司法省は、ロシア国民がスペインから引き渡され、 Kelihosボットネットを運営した疑いでコネチカット州で起訴されると発表した。サンクトペテルブルク在住のピーター・ユリエヴィッチ・レヴァショフ容疑者（37歳、別名ピョートル・レヴァショフ）^[25]、ペトル・レヴァショフ、ピーター・セヴェラ、ペトル・セヴェラ、セルゲイ・アスタホフは、2017年4月7日にバルセロナで拘留され、米国コネチカット州で発行された刑事告訴と逮捕状に基づきスペイン当局に逮捕された。^[26] 2018年2月3日、レヴァショフは米国コネチカット州の連邦判事の前に出廷した後、有線および電子メール詐欺、ハッキング、個人情報窃盗、共謀の容疑について無罪を主張した。彼は現在も拘留されている。^[25] 2018年9月、レヴァショフは有罪を認めた。^[27]

• ボットネット
• 電子メールスパム
• インターネット犯罪
• インターネットセキュリティ
• マルウェア