 |
BOTとは何か？［前編］
変幻自在なBOTの正体を暴く
岡本 勝之トレンドマイクロ株式会社
トレンドラボ・ジャパン アンチウイルスセンター
ウイルスエキスパート
2005/9/22
現在「BOT（ボット）」と呼ばれる不正プログラム群が話題になっています。BOTとは「AGOBOT」「SPYBOT（※）」「SDBOT」「RBOT」といった名前を持つ不正プログラム群の総称です。このBOTという名称は「ロボット（ROBOT）」からきています。
【※】フリーのスパイウェア対策ソフト「Spybot - Search & Destroy」とは違うものです |
当初は一般的なバックドア型ハッキングツールに見えたBOTですが、ネットワークワーム活動などのさまざまな活動を取り入れて成長しました。しかし、これらはそれまでに存在した活動の組み合わせであり、特に目新しいものとはいえません。
現在、BOTは無数の亜種を生み出してまん延し「BOTネットワーク」と呼ばれる不正プログラム同士のネットワーク網を築くなど大きな脅威となっています。本稿では前編、後編の2回にわたって、BOTはなぜこのようにまん延するようになったのか、その背景と技術的な観点からBOTとは何かを解説します。
 |
不正プログラムとしてのBOT |
１つの不正プログラムとしてみた場合のBOTとはどのようなものなのでしょうか。
個々のBOTの活動内容は特に目新しいものとも特殊なものともいえません。既存のウイルス活動の組み合わせといえます。BOTの原型は2002年に登場しました。現在までに多くの亜種・変種が登場しているため細かい活動内容は多岐にわたりますが、主な活動には以下のようなものがあります。
・バックドア活動
BOTは侵入したPC内から外部の悪意のあるハッカーとの通信を行い、リモートコントロールを可能にします。BOTと外部との通信にはインターネット上のチャットシステムであるIRC（インターネットリレーチャット）を悪用する方式が多く採られています。人間によるコントロールを受けるのでBOTプログラム自身のアップデートやほかの不正プログラムのインストールを含め、どんなことでも可能になります。
 |
| 図1 バックドア活動 |
・情報漏えい
PC内部で収集した情報を外部に送信します。収集される情報にはPCのシステム情報やユーザーアカウントなどのほかにも、人気コンピュータゲームのインストールキーやシリアル番号などを収集するものもあります。
 |
| 図2 情報漏えい活動 |
・ネットワークウイルス活動
ネットワークを介してほかのPCに侵入するネットワークウイルスとしての活動を行います。単純にアクセス可能な共有フォルダに自身のコピーを作成するだけのものから、安易なユーザーアカウントやパスワードを破って侵入するもの、一般にエクスプロイトと呼ばれるセキュリティホールへの攻撃を行って侵入するものまであります。
新しい脆弱性、セキュリティホールへの攻撃方法などはどんどん取り入れられるのでBOTの活動内容としては最も更新が激しい部分といえます。また、コピーの頒布方法としてPtoPファイル共有やメッセンジャーソフトなどを利用する場合もあります。
 |
| 図3 ネットワークウイルス活動 |
|
BOTネットワークの脅威 |
現在、最も注目を浴びている活動はBOTネットワークの構築です。ウイルスに感染したままになっているPCを「ゾンビPC」と呼びます。これはホラー映画などでゾンビに襲われた人間が新たなゾンビとなってほかの人間を襲うところが、無害だったPCがウイルス感染することによってほかのPCへの感染源となってしまうところと似ていることからできた呼び名です。
BOTネットワークとはBOTに感染したゾンビPC同士が外部の指令者によってネットワーク化され協調して活動を行う仕組みのことです。これによってBOTは単純に1台のPCに対する感染被害や情報漏えい被害だけでなく、ネットワーク全体に対して大きな脅威となる存在となりました。
BOTネットワークの場合、外部から指令を行う存在のことを「ハーダー」と呼びます。ハーダーの指令によって行われる不正行為としては、特定の企業を狙ったネットワークごとの情報漏えい、指定された攻撃目標へのDoS攻撃、スパムメールの踏み台などがあります。
BOTの脅威とはこれまでのワームのように感染を広げるために不特定多数のターゲットを攻撃、侵入するということではありません。BOTの背後にはハーダーという指令者、つまり人間の意思が存在する点、そして侵入したPCをどう悪用するかという点が脅威のポイントといえます。
 |
| 図4 BOTネットワーク |
1/2 |
|
| Index | |
| 変幻自在なBOTの正体を暴く | |
 |
Page1 不正プログラムとしてのBOT BOTネットワークの脅威 |
| Page2 ウイルスは「目的」から「手段」に 道具としてのBOT |
|
| BOTとは何か | |
| 前編 変幻自在なBOTの正体を暴く | |
| 後編 なぜBOTは増殖するのか | |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
