Botnetとは？ わかりやすく解説

インターネット上の初期のボットネットは、タスクを遂行するためにクライアント・サーバーモデルを使用していた^[17]。通常、これらのボットネットはインターネット・リレー・チャットネットワーク（IRC）、ドメイン、またはウェブサイトを通じて機能する。感染したクライアントは予め決められた場所にアクセスし、サーバーから送られてくるコマンドを待機する。ボットハーダーはサーバーにコマンドを送信し、サーバーはそれをクライアントに中継する。クライアントはコマンドを実行し、その結果をボットハーダーに報告する^[16]。

ボットネットのノードは感染するとダイナミックDNSや応答の速いドメイン登録業者のサービスを使って登録されたドメイン名を使って、IRCサーバに接続する。IRCに接続したノードはそのIRCの然るべきチャンネルに参加し、自分の存在をチャンネルの参加者に伝え、命令を待つ一種のIRCボットとなる。命令はユーザとして参加している指令者のIRCの発言として為され、命令を受け取ったノードはその命令を実行する。

IRCサーバもまたコンピュータウイルスに感染したコンピュータによって構成されていることが多く、ひとつのIRCサーバが止められてもボットネット全体が止まることは無く、指令者の接続元を突き止めるのは困難になっている。このように、ノードの生成/消滅にかかわらず接続性を保証するためにDomain Name Systemに依存しているため、対応にはドメインの提供者の協力が必要になる。

IRCボットネットの検知と解体への対策として、ボットハーダーはP2Pネットワーク上にマルウェアを展開し始めた。これらのボットは、Gameover ZeuSやZeroAccessボットネットのように、秘密鍵にアクセスできる者だけがボットネットを制御できるようにデジタル署名を使用することがある^[18]。

より新しいボットネットは、P2Pネットワーク上で完全に機能する。P2Pボットは中央サーバーと通信するのではなく、コマンドを配信するサーバーと、コマンドを受信するクライアントの両方の役割を果たす^[19]。これにより、中央集権型のボットネットの問題である単一障害点を持つことを回避できる。

他の感染したマシンを見つけるために、P2Pボットは別の感染したマシンを特定するまで、ランダムなIPアドレスを密かに調査する。連絡を受けたボットは、ソフトウェアのバージョンや既知のボットのリストなどの情報を返信する。どちらかのボットのバージョンが古い場合、アップデートのためのファイル転送が開始される^[18]。このようにして、各ボットは感染したマシンのリストを増やし、定期的にすべての既知のボットと通信することで自身を更新する。

IRCは、その通信プロトコルの特性から、歴史的にC&Cの手段として好まれてきた。ボットハーダーは感染したクライアントが参加するためのIRCチャンネルを作成する。チャンネルに送信されたメッセージは、チャンネルの全メンバーにブロードキャストされる。ボットハーダーは、チャンネルのトピックを設定してボットネットにコマンドを出すことがある。例えば、ボットハーダーからの :herder!herder@example.com TOPIC #channel DDoS www.victim.com というメッセージは、#channelに属するすべての感染クライアントに対し、ウェブサイトwww.victim.comへのDDoS攻撃を開始するよう警告する。ボットクライアントによる :bot1!bot1@compromised.net PRIVMSG #channel I am DDoSing www.victim.com という応答例は、攻撃を開始したことをボットハーダーに知らせる^[18]。

一部のボットネットは、よく知られたプロトコルのカスタムバージョンを実装している。この実装の違いは、ボットネットの検知に使用されることがある。例えば、Mega-Dは、スパム機能をテストするためにわずかに変更されたSimple Mail Transfer Protocol（SMTP）の実装を特徴としている。Mega-DのSMTPサーバーを停止させると、同じSMTPサーバーに依存しているボットのプール全体が無効になる^[20]。

計算機科学において、ゾンビコンピュータとは、インターネットに接続されたコンピュータのうち、ハッカー、コンピュータウイルス、またはトロイの木馬によって侵害され、遠隔操作の下で悪意のあるタスクを実行するために使用される可能性のあるものを指す。ゾンビコンピュータのボットネットは、多くの場合、電子メールスパムの拡散やサービス拒否攻撃（DDoS）の開始に使用される。ゾンビコンピュータの所有者の多くは、自分のシステムがこのように使用されていることに気づいていない。所有者が気付いていない傾向があるため、これらのコンピュータは比喩的にゾンビに例えられる。また、複数のボットネットマシンによる組織的なDDoS攻撃は、ゾンビの群れによる攻撃にも似ている^[21]。

システムがボットネットに参加させられた結果として計算資源が盗まれるプロセスは、時折「スクランピング（scrumping）」と呼ばれることがある^[22]。

Telnetボットネットは、ボットがボットネットをホストするメインコマンドサーバーに接続するという、シンプルなC&Cボットネットプロトコルを使用する。ボットは、外部サーバー上で動作し、TelnetおよびSSHサーバーのデフォルトログインを求めてIPレンジをスキャンするスキャンスクリプトを使用することで、ボットネットに追加される。ログインが見つかると、スキャンサーバーはSSHを通じてマルウェアに感染させることができ、そのマルウェアはコントロールサーバーにpingを送信する。

IRCネットワークは、シンプルで低帯域幅の通信方法を使用するため、ボットネットのホストとして広く使用されている。これらは構造が比較的シンプルである傾向があり、DDoS攻撃やスパムキャンペーンの調整にある程度の成功を収めつつ、継続的にチャンネルを切り替えてテイクダウンを回避することができる。しかし、場合によっては、特定のキーワードをブロックするだけで、IRCベースのボットネットを阻止するのに効果的であることが証明されている。RFC 1459（IRC）規格はボットネットで人気がある。最初に普及した既知のボットネットコントローラースクリプト「MaXiTE Bot」は、プライベートな制御コマンドにIRC XDCCプロトコルを使用していた。

IRCを使用する際の問題の1つは、各ボットクライアントがボットネットとして機能するためにIRCサーバー、ポート、およびチャンネルを知っていなければならないことである。マルウェア対策組織は、これらのサーバーやチャンネルを検知してシャットダウンし、ボットネットの攻撃を事実上阻止することができる。これが発生した場合、クライアントは感染したままであるが、指示を受け取る方法がないため通常は休眠状態になる^[18]。この問題を軽減するために、ボットネットは複数のサーバーやチャンネルで構成されることがある。サーバーまたはチャンネルの1つが無効になった場合、ボットネットは単に別のものに切り替わる。IRCトラフィックをスニッフィングすることで、追加のボットネットサーバーやチャンネルを検知し、解体することは依然として可能である。ボットネットの敵対者は、制御スキームの知識を得て、コマンドを正しく発行することでボットハーダーを模倣することさえできる可能性がある^[23]。

IRCネットワークやドメインを使用するほとんどのボットネットは時間とともに解体される可能性があるため、ハッカーはボットネットの回復力を高め、終了に抵抗するために、C&Cを備えたP2Pボットネットへと移行している。

一部のハッカーは、ボットネットを他者から保護またはロックダウンする方法として暗号化を使用しており、ほとんどの場合、暗号化を使用する際は公開鍵暗号であり、その実装と解読の両方に課題をもたらしている。

大規模なボットネットの多くは、その構築においてIRCよりもドメインを使用する傾向がある。これらは通常、防弾ホスティングサービスでホストされている。これは最も初期のC&Cタイプの1つである。ゾンビコンピュータは、制御コマンドのリストを提供する特別に設計されたウェブページまたはドメインにアクセスする。C&Cとしてウェブページやドメインを使用する利点は、大規模なボットネットを、容易に更新可能な非常にシンプルなコードで効果的に制御および維持できることである。

この方法を使用する欠点は、大規模になるとかなりの帯域幅を使用することと、政府機関によってドメインが容易に押収される可能性があることである。ボットネットを制御するドメインが押収されない場合でも、サービス拒否攻撃によって侵害されやすい標的となる。

Fast-flux DNSは、日々変化する可能性のあるコントロールサーバーを追跡しにくくするために使用されることがある。コントロールサーバーはDNSドメインからDNSドメインへと移動し、コントローラーサーバーの新しいDNS名を作成するためにドメイン生成アルゴリズムが使用される。

一部のボットネットは、DynDns.org、No-IP.com、Afraid.orgなどの無料のDNSホスティングサービスを使用して、サブドメインをボットを潜伏させているIRCサーバーに向ける。これらの無料DNSサービス自体は攻撃をホストしないが、リファレンスポイント（多くの場合、ボットネットの実行可能ファイルにハードコードされている）を提供する。このようなサービスを削除することで、ボットネット全体を機能不全に陥れることができる。

GitHub^[24]、Twitter^[25][26]、Reddit^[27]、Instagram^[28]などの人気サイトへのコールバック^[29]、オープンソースのインスタントメッセージプロトコルであるXMPP^[30]、およびTorの秘匿サービス^[31]は、C&Cサーバーと通信するためのエグレスフィルタリングを回避する一般的な方法である^[32]。

この例は、ボットネットがどのように作成され、悪意のある利益のために使用されるかを示している。

• ハッカーはトロイの木馬やエクスプロイトキットを購入または構築し、それを使用してユーザーのコンピュータへの感染を開始する。そのペイロードは悪意のあるアプリケーション、すなわちボットである。
• ボットは感染したPCに、特定のコマンド＆コントロール（C&C）サーバーに接続するよう指示する。（これにより、ボットマスターはいくつのボットがアクティブでオンラインであるかのログを保持できる。）
• ボットマスターはその後、ボットを使用してキーストロークを収集したり、フォームグラビングを使用してオンライン認証情報を盗み出したりする可能性があり、DDoSやスパムとしてのサービスとしてボットネットを貸し出したり、利益のためにオンラインで認証情報を販売したりすることがある。
• ボットの品質と機能に応じて、その価値は増減する。

より新しいボットは、環境を自動的にスキャンし、脆弱性や脆弱なパスワードを使用して自己伝播することができる。一般的に、ボットがスキャンして伝播できる脆弱性が多ければ多いほど、ボットネットコントローラーのコミュニティにとっての価値は高くなる^[33]。

悪意のあるソフトウェアを実行すると、コンピュータがボットネットに組み込まれる可能性がある。これは、ユーザーを誘い込んでドライブバイダウンロードを行わせたり、ウェブブラウザの脆弱性を悪用したり、電子メールの添付ファイルから来る可能性のあるトロイの木馬プログラムをユーザーを騙して実行させることで達成される。このマルウェアは通常、コンピュータがボットネットのオペレーターによってコマンドおよび制御されることを可能にするモジュールをインストールする。ソフトウェアがダウンロードされた後、ホストコンピュータにコールホーム（再接続パケットを送信）する。再接続が行われると、どのように記述されているかに応じて、トロイの木馬は自身を削除するか、モジュールを更新および維持するために存在し続ける場合がある。

場合によっては、2010年のプロジェクト・チャノロジー中に4chanのメンバーによって使用されたLow Orbit Ion Cannonの実装のように、ボランティアのハクティビストによってボットネットが一時的に作成されることがある^[34]。

中国のGreat Cannon（Great Cannon of China）は、中国へ向かうインターネットバックボーンにおける正当なウェブブラウジングトラフィックの変更を可能にし、2015年にGitHubなどの大きな標的を攻撃するための大規模で一時的なボットネットを作成する^[35]。

分散型サービス妨害（DDoS）攻撃は、ボットネットの最も代表的な用途である^[46]。ボットマスターは配下の多数のゾンビコンピュータに対し、標的のサーバやネットワークへ、一斉に可能な限り多くのリクエストを送信するよう指令を出し、サービスの提供を妨害する^[47]。Googleの不正対策担当であるShuman Ghosemajumderは、ボットネットがサービスとして使用されているため、主要なウェブサイトに停止をもたらすこれらの種類の攻撃は定期的に発生し続けるだろうと述べている^[48]。2007年にはエストニアの政府機関や民間ウェブサイトに対するDDoS攻撃にボットネットが使用され、国際的な注目を集めた^[49]。

ボットネットはフィッシングのためのスパムメールの送信基盤として広く利用されている^[50]。電子メールやテキストで送信されたリンクを「被害者」がクリックすることで、「被害者」のアカウントのログイン情報を取得し^[51]、情報を違法に詐取する。ベライゾンによる調査では、電子的な「スパイ活動」の約3分の2がフィッシングによるものであることが判明した^[52]。

世界各地に分散した感染端末から送信されるため、特定の地域に偏らず、ブラックリストによるフィルタリングを回避しやすい。送信元ホストのDNS逆引きが未設定であるか、DSLやCATV回線と思われる機械的な命名規則のFQDNである場合が多い^[53]。2000年に発覚したEarthlink Spammerボットネットは、1年間で125万通以上の不正メールを送信した最初の著名な事例とされている^[50]。

ENISAの2020年ボットネット脅威報告書は、ボットネットの活動の多くが利用者の認証情報（IDやパスワード）の窃取に関連していると報告している^[54]。ボットネットに組み込まれたキーロガーや情報窃取型マルウェア（インフォスティーラー）が感染端末上で動作し、オンラインバンキングや電子メールなどの認証情報を収集して指令者に送信する^[47]。Emotetは当初バンキングトロイの木馬として2014年に確認されたが、後にボットネット基盤へと進化し、窃取した認証情報や感染端末へのアクセスを他の犯罪者に販売するMaaSモデルを運用した^[55]。また、別のサイトから流出した認証情報を使い大量のログインを自動試行するクレデンシャルスタッフィング攻撃にもボットネットが利用されている^[47]。

ボットネットはランサムウェアの配布手段としても機能する。EmotetボットネットはTrickBot経由でRyukランサムウェアを配布していたことが確認されている^[55]。ENISA 2025年報告書ではランサムウェアを「EU域内で最も破壊的かつ経済的被害の大きい脅威」と位置づけており、その拡散にボットネットが利用されている^[46]。

感染端末の計算資源を利用して暗号通貨をマイニングする手法は「クリプトジャッキング」と呼ばれ、ボットネットの収益化手段として増加している^[56][57][58]。2023年に発見されたNoaBotは、Miraiの亜種をベースにSSH経由で拡散し、感染端末にMoneroマイニング用のXMRigを設置するボットネットであり、849以上の攻撃元IPが世界各地で確認された^[59]。

ボットネットを利用し、成功報酬型広告に対して偽のクリックを自動生成することで、広告主から不正に収益を得る手口がある^[47][50]。分散した多数の一意なIPアドレスからアクセスが行われるため、不正検知が困難になる。

ボットネットの感染端末をリバースプロキシとして利用し、フィッシングサイトや違法な商品販売サイトを構築する手口もある。複数の感染ノードをDNSラウンドロビンで切り替えることで、特定のサーバが停止されても即座に別のノードに切り替わる。この手法はファスト・フラックスと呼ばれる^[60]。

スパイウェアは、ユーザーの活動（通常はパスワード、クレジットカード番号、その他ブラックマーケットで販売できる情報）に関する情報を作成者に送信するソフトウェアである。企業ネットワーク内にある侵害されたマシンは、多くの場合、機密の企業情報へのアクセスを得ることができるため、ボットハーダーにとってより価値が高い可能性がある。Auroraボットネットのように、大企業を標的としたいくつかの攻撃は、機密情報を盗むことを目的としていた^[61]。

分散した多数の感染端末にアドウェアを配置し、広告を強制表示させたり広告サイトにアクセスさせることで、不正な広告収入を得る用途がある。CHEQの「Ad Fraud 2019, The Economic Cost of Bad Actors on the Internet」によると、悪意のあるボット活動の結果であることが多い^[62]。ボットの商業目的には、インフルエンサーが自らの見かけのの人気を高めるために使用したり、オンラインパブリッシャーが広告のクリック数を増やすためにボットを使用して、サイトが広告主からより多くの手数料を得られるようにしたりすることが含まれる。

近年、ボットネットの構築・運用者（ボットマスター）が、自らのボットネットを第三者に貸し出す「ボットネット・アズ・ア・サービス」（Botnet-as-a-Service）と呼ばれるビジネスモデルが確認されている^[50]。利用者は料金を支払うことで、DDoS攻撃の代行やスパム送信、マルウェア配布などのサービスを購入できる^[47]。