米司法省は9月1日、ブルガリア、ハンガリー、ルーマニアの当局、および民間のCrowdStrike（クラウドストライク）とShadowserver Foundation（シャドウサーバー財団）と連携し、ボットネット「Sality」とマルウェアを無力化したと発表した。
この作戦は8月31日に実施され、世界1万5000台超の感染端末が運営者の統制から切り離された。Salityは2003年に初めて確認されたP2P型ボットネットで、中央サーバーを持たず感染端末同士が直接通信するため20年以上生き延びてきた。
CrowdStrikeによると、直近8年の主なペイロードは「EggJagger」で、クリップボードを監視し、コピーされた暗号資産のアドレスを運営者のアドレスへ差し替える手口を使っていた。
この攻撃は非常に単純だが、ほとんどの暗号資産（仮想通貨）ユーザーが標的になる。ウォレットアドレスは長い文字列なので、誰も手入力せず、コピー＆ペーストで利用するからだ。
CrowdStrikeは、このペイロードだけで少なくとも1210万ルーブル（約2178万円、1ルーブル=1.8円換算）が盗まれ、大半は未使用のまま保有されて2025年1月に約1億4700万ルーブル（約2億6460万円）まで膨れ上がったと推定する。
運営者「SALTY SPIDER」はロシアのバシコルトスタン共和国を拠点にしているとみられるが、逮捕者はなく身元も公表されていない。
被害額は大型のハッキング事案に比べれば小さい。だがクリップボードを監視するクリッパー型マルウェアの脅威は拡大しており、6月にはMicrosoft（マイクロソフト）がUSB経由で広がる同種のマルウェアを警告している。
感染は駆除するまで残るとCrowdStrikeは注意を促しており、少額のテスト送金が現実的な防衛策となる。
｜文・編集：井上 俊彦
｜画像：Shutterstock
