あなたのPCが乗っ取られる - ボットネット

世界中に迷惑メール（スパムメール）が蔓延していますが、その大多数が、普通の企業や家庭の PC から発信されているといいます。いったい何が起きているのでしょうか。

ゾンビPCとボットネット

現在、世界中を流れる電子メールの 9 割近くが迷惑メール（迷惑メール）だと言われています。
これから説明するボットネットワークを使い、迷惑メール業者はとても安いコストで迷惑メールを出すことができます。京都大学の高倉弘喜准教授によれば、迷惑メールへの返信率が 0.001％を超えれば業者は採算がとれると試算しています。

迷惑メール業者は、発信情報を隠すために悪知恵をめぐらしています。
現在普及しつつある手口としては、コンピュータ・ウイルスやワームを使って、一般ユーザーの PC に迷惑メールを発信させるプログラムを仕込むというものです。インターネット越しの遠隔操作によって、これらの PC から一斉に迷惑メールが発信されるのです。
「メッセージラボインテリジェンス 2009 年 8 月」によると、全世界で流通する迷惑メールの 87.9％がこうした遠隔操作によって発信されているといいます。

乗っ取られてしまった PC をゾンビ PC、ゾンビ PC の集まりをボットネットワーク(bot network)と呼んでいます。会社の PC は、サーバなら常時起動しており、インターネットへも常時接続しているものが多いでしょう。こういう PC がゾンビ PCとして狙われます。
最近では、家庭でもホームサーバが増えており、これは会社の PC よりセキュリティが弱いことが多く、ゾンビ PCとして格好の餌食になっています。

セキュリティ企業マカフィーの調査によると、1 日平均 14 万 8 千のゾンビ PC が新たに誕生しているといいます。
ゾンビ PC が最も多いのはアメリカ（ゾンビ PC 全体の 13.1％）で、2 位は中国（同 12.2％）、3 位はブラジル（同 8.0％）となっています。

日本のPCが韓国・米国の政府機関を攻撃

2009 年 7 月 10 日、JPCERT コーディネーションセンター（JPCERT/CC）は、韓国と米国で発生した DDos 攻撃に、日本国内のコンピューター複数が使われたとして注意を喚起しました。
セキュリティベンダーのアンラボは、今回の攻撃に使われたウイルスの一部は、ハードディスクを損傷させデータを破壊するなど、個人のパソコンに致命的な損傷を与える可能性があるといいます。
PC をきちんとメンテナンスしておかないと、われわれは被害者であると同時に加害者になってしまいます。

Telecom-ISAC Japanによると、日本国内のインターネット・ユーザーの 40～50 人に 1 人がゾンビ化しているそうです。ボットネットワークが占領している帯域は、国内だけで 10G ビット／秒に及び、未対策の PC をネットに接続すると、およそ 4 分でゾンビ化することが分かりました。

世界の状況

セキュリティ企業の CipherTrust社は、全世界のゾンビ PC の動向をリアルタイムに把握できる Web サイト ZombieMeter を公開しています。
同社によると、ゾンビ PC の動向は日ごとに変わるそうです。2005 年 3 月から 4 月にかけては中国ベースのゾンビ PC がかなりの割合を占めていましたが、4 月は中国および米国で多くのゾンビ PC が発見されました。さらに 5 月に入ってからはヨーロッパ諸国で新たなゾンビ PC が多く観測されたということです。
ZombieMeterでは、世界地図上からゾンビ PC の数の増減をグラフィカルに確認できるほか、ゾンビ PC が多く検出されている国や地域が確認できます。2005 年 7 月 5 日現在、日本のゾンビ PC が占める割合は 5.26％で、ワースト 6 位となっています。自慢できる数字ではありませんね。

米McAfee は、2005 年に入り、コンピュータを乗っ取ってゾンビ化する攻撃の伸びが顕著であると発表しました。
2005 年の第1 四半期と第2 四半期だけで、バックドアを使って悪用されたマシンの数は 2004 年全部よりも 63％増えました。とくにボットは、2005 年第1 四半期から第2 四半期にかけて 3000 件から 1 万 3000 件近く、303％と急増しています。

米Symantec が発表した 2006 年下半期（7 月～12 月）のセキュリティ脅威レポートによると、全世界でボットに感染しているマシンは 600 万台に上るそうです。
ボット感染マシンが最も多いのは中国で、世界全体の 26％を占めています。一方、ボットに攻撃命令を出すサーバーは米国が最も多く、世界全体の 40％を占めています。
また、盗み出された個人情報は、地下経済によって売買されているようです。米国のカード番号は 1 枚あたり 1 ドル～6 ドル、カード番号に加えて氏名や社会保障番号などが含まれる個人情報は 1 件あたり 14～18 ドルで売買されており、こうした地下経済の 51％が米国に存在するといいます。

2009 年 2 月、英ケンブリッジ大学の研究者は、ブログ「Light Blue Touchpaper」上で、フィッシング詐欺サイトの 7 割以上はハッキングされたマシンから流されていたという調査結果を公表しました。
調査報告によると、同じマシンが何度もハッキングされているケースがありました。これは特定の攻撃者が制御したボット上に複数のフィッシング詐欺サイトを開設しているか、複数の攻撃者が別々に同じマシンへ侵入している可能性が考えられるとのこと。同じマシンが 4週間以内に再度ハッキングされる確率は 10％、6 カ月以内では 20％に上りました。

2009 年 4 月、米Finjan は、マルウェアに感染した 190 万台のコンピュータで構成されるボットネットを発見したと伝えました。1 つの犯罪組織が制御しているボットネットとしては、過去最大級のものだといいます。感染マシンは米国が 45％と、最も多かったそうです。
ゾンビ化された PC には、感染マシン同士の通信、Web サイトの閲覧、バックグラウンドサービスの登録など多数の機能が仕込まれており、攻撃側がリモートからあらゆる行為を実行できる状態になっていました。

（この項つづく）