第3段階

　ファイルなしボットが、ユーザーのコンピュータとマスターサーバ間の通信を確立する。マスターサーバに送信される情報には、感染マシンの技術的詳細が含まれる。この点においてファイルなしボットは、他の一般的なボットと変わらない。だがファイルなしボットは、ファイルを持たず完全にメモリ内で実行される。

第4段階

　ファイルなしボットは、不正侵入防止のためのセキュリティコンポーネント「ユーザーアカウント制御」（UAC）を無効化する。次いで、さらに堅牢な種類のマルウェアをインストールするために必要な許可を取得する。ロシアで発生した事例の場合、ダウンロードされたマルウェアはトロイの木馬「Lurk」だった。Lurkは、主にオンラインバンキングサービスにアクセスする目的で重要情報を盗み出す。

第5段階

　Lurkが獲物を手に入れる。

Javaの脆弱性

　前述の通り、ファイルなしボットは、既知のJavaの脆弱性（CVE-2011-3544）を悪用する。ロシアでは、犯罪集団がこの脆弱性を突いてWindowsマシンを攻撃した。だがMac OSもJavaをサポートしていることから、米Appleのコンピュータにも同じ脆弱性が潜んでいる。幸いなことに、米Oracleは2011年10月にパッチを公開しており、この脆弱性の影響を受けるのは更新が適用されていないコンピュータに限られる。

　コンピュータにパッチが適用されていなければ、信頼されているJavaプロセスにボットを仕込むのは容易だ。しかも多くの場合、ウイルス対策ソフトウェアはボットの存在に気付かない。実際のところ、ボットは実質的に目に見えない。

　サイバー犯罪集団は、この攻撃を仕掛けるために、AdFoxの顧客のアカウントを利用して、ロシアのWebサイトに表示されるバナーコードを書き換えた。具体的には、iframeタグをコードに追加した。iframeタグは、1つの文書内に別のHTMLファイルを読み込ませるインラインフレームを実現する。このインラインフレームの中に暗号化されたリンクを組み込み、EUドメインにあるマスターサーバにリダイレクトする。同サーバは、HDDに物理ファイルを作成せず、コンピュータのメモリにDLLを挿入する。

ファイルを持たないマルウェアが引き起こすトラブル

　ロシアの集団攻撃は比較的まれなケースだが、同様の攻撃は過去にも発生している。特筆すべきは、ワームの「Code Red」「SQL Slammer」だろう。両ワームが利用した既知のバッファオーバーフローの脆弱性でも、今回ロシアで起きたようなファイルなし攻撃を仕掛けることが可能だ。

　この種の攻撃がこれまでに何度も起きたことを考えると、今後起きないと言い切れる理由はない。ロシアだけで発生するとも、Windowsマシンだけが標的になるとも限らず、Lurkばかりが使われるとも限らない。他の国やOSも同様に脆弱であり、他のマルウェアも同じくらい容易に増殖する。

　幸い、ファイルなしボットはメモリだけに存在するため、システムを再起動すれば問題は解決される（手遅れになっていなければだが）。ユーザーが同じ感染サイトや別の感染サイトを閲覧しない限り、以後問題が生じることはない。だがもちろん、コンピュータにあるJavaは確実に最新の状態に保ち、最新のセキュリティパッチを適用しておく必要はある。そうすれば、少なくともロシアを襲ったようなボットから身を守ることはできる。

　だがどんな種類のマルウェアであっても、状況は変化し続けている。最先端のファイルなし攻撃からユーザーを守ることができたとしても、誰もが安全だという保証はない。ロシアで起きた事態は、ロシアのみにとどまらないかもしれない。