今回の破壊的なDDoS攻撃が悪用したのは、セキュリティ対策が不十分なままネットに接続されたデバイスだ。攻撃に至るまでの間に「われわれの目と鼻の先であらゆる出来事が起きていた」とピーターソン氏は振り返る。それまで見落としていた最大級の兆候として、ハッカーコミュニティー「Hack Forums」のようなサイト上では、「booter」というDDoS攻撃代行サービスの闇市場の動きが活発化していた。

　「DDoS攻撃を中心に形成された巨大なエコシステムが存在する。多くの人々はそのことをほとんど気に留めていない」とピーターソン氏は言う。

　Hack ForumsはDDoS界の中心にある。ハッカー集団はそこで、DDoS攻撃代行ツールやサービスの宣伝販売をしていた。ピーターソン氏は、Hack Forumsのメンバーがbooterを使って、人気PCゲーム「Minecraft」のプライベートサーバを攻撃した経緯を説明した。利用者が多いMinecraftサーバの中には、ホストの年商が何十万ドルにも達するものもある。そこでプレーヤーを獲得して稼ぎを増やそうと、競合する他のMinecraftサーバにDDoS攻撃を仕掛けるMinecraftサーバ運営者を中心として、商圏が形成されていた。

　皮肉なことに、Miraiの作者たちはDDoS対策を手掛ける小規模企業ProTraf Solutionsの経営者だった。この会社の資金繰りが苦しくなったことから、ホワイト被告とジハ被告は2016年春、DDoSに対する防御サービスを提供する代わりに、後のMiraiとなるbotネットの開発に乗り出した。

ハッカー戦争

　ホワイト被告とジハ被告、後にノーマン被告も加わって開始したMiraiのbooterサービスは、最盛期で65万台のデバイスをハッキングするという「驚異的な台数」（ピーターソン氏）を達成した。

　「IoTの問題は、その攻撃表面の大きさにある」とピーターソン氏は解説し、ほとんどのbooterサービスが提供するDDoSの規模は1Gbps～30Gbps程度だが、Miraiが発生させたトラフィックは1Tbps近かったと言い添えた。

　やがてMiraiの開発グループは、「Lizard Squad」と呼ばれる別のDDoS代行サービス集団と対立することになる。ホワイト、ジハ、ノーマンの3被告は競合するbotネットプロセスを停止させる目的でMiraiの設計に変更を加え、Miraiがbotネットに組み入れたIoTデバイスやネット接続デバイスにLizard Squadなどの競合相手が侵入できないよう、機器を遠隔操作するためのプロトコルであるTelnetを遮断した。

　2016年の夏の間、Miraiの開発グループとLizard Squadは、booterの闇市場で優位に立つ目的でbotネットを形成した。

　FBIは英国やイスラエルの捜査機関と連携して、Lizard Squadなどのbooterサービスに対する捜査を進めていた。だがMiraiの開発グループのことや、Hack Forumsでの動向、ハッカー戦争については認識していなかったという。9月に入ると、捜査機関がLizard Squadのbooterサービス「vDOS」を停止させた。

　この摘発は、予期せずMiraiの開発グループを増長させることになった。この市場で最大のライバルがいなくなった同グループは、オンラインフォーラムでユーザーに争いを仕掛けるようになり、争った相手はMiraiを使った大規模なDDoS攻撃に見舞われる羽目になった。

　「一般にはあまり知られていないかもしれないが、2016年の9月半ば、Miraiの開発グループがこれをこん棒のように振りかざしていた」とピーターソン氏は語る。

　しかしここでも、被害者が他のハッキング集団やbooterサービスだったことから、その攻撃はFBIのレーダーには探知されなかった。Miraiの存在が明るみに出たのは、Miraiの開発グループがbotネットを全力で行使して、情報セキュリティジャーナリスト、ブライアン・クレブズ氏のWebサイト「Krebs on Security」を攻撃した時だった。この攻撃は、クレブズ氏がbooterサービスを取り上げた記事への報復だった。攻撃の威力はすさまじく、クレブズ氏のサイトは数日間にわたってダウンした状態が続き、Akamai TechnologiesはDDoS対策サービスの対象から同サイトを外した。クレブズ氏はGoogleのDDoS対策サービス「Project Shield」を利用してWebサイトを復活させた。

　クレブズ氏のサイトを攻撃した後、作者たちは捜査当局の目をそらす狙いでMiraibotネットのソースコードを公開した。公開後間もなく、新たなMirai攻撃が、DNSサービスプロバイダーDynなどの企業に対して仕掛けられるようになる。捜査当局はこうした攻撃について、Miraiのソースコードを入手した別の容疑者が関与したと推測している。

Miraiの作者を特定

　Project Shieldを導入したクレブズ氏は、Googleが攻撃に関するデータをFBIに提供することを認めた。これが捜査の大きな助けになったとピーターソン氏は振り返る。Mirai攻撃に使われたIPアドレスの一部がアラスカのものだったことから、ピーターソン氏とアンカレッジ支部が捜査を主導することになる。ハッキングされてbotネットに利用されたデバイスの多くはアラスカ州内にあった。

　ホワイト、ジハ、ノーマンの3被告は自分たちの身元を隠し、痕跡を消すために、複数のエイリアスを使い分け、トルコの人物であるかのように思わせる偽の個人情報を使うなど、数多くの措置を講じていた。しかしMirai作者たちは、FBIの捜査力を見くびり、匿名アカウントやエイリアスに関するメタデータから自分たちの身元が暴露され得ることを認識できていなかった。

　「彼らのOPSEC（運用セキュリティ）は、大部分で目を見張るものがあった。だが同時に、友人たちに自慢するという過ちも犯していた」とピーターソン氏は打ち明ける。

　2017年初め、クレブズ氏はMiraiに関する調査レポートを公開し、この中で同マルウェアの作者と思われる人物として、ホワイト被告とジハ被告を名指しした。その年のうちに、FBIと連邦検察の徹底追及を受け、ホワイト、ジハ、ノーマンの3被告は数件のコンピュータ犯罪にかかわった罪を認めた。ピーターソン氏によれば、3人は他のbooterサービスやMirai関連攻撃に対する捜査協力に「異常なほど」積極的な姿勢を示したという。

　「被告たちは、言ってみれば、精霊をランプに戻そうという覚悟があった。Miraiを解き放ち、大変な問題を生み出してしまった自分たちに、どんな償いができるのか、と」

　3人の償いには、Mirai型の攻撃を防ぐ新ツールの開発が含まれていた。彼らがIoTbotネットのおとりとして開発した「WatchTower」は、ピーターソン氏のプレゼンテーションの中で動画を使って紹介された。この動画では、ホワイト、ジハ、ノーマンの3被告がナレーションを担当している。

FBIがDDoS攻撃から得た教訓とは

　2016年のMiraibotネット攻撃は、DDoS攻撃に関する大きな転機となった。捜査当局も情報セキュリティ業界も貴重な教訓を学んだとピーターソン氏は言う。

　同氏によるとFBIは、DDoS攻撃に対してもっと適切な捜査ができていたかもしれないという。「われわれは、booter市場についてもっと徹底捜査することも可能だった。booter市場で交わされていたやり取りを綿密に調べていたら、Lizard Squadが単に迷惑なだけの存在ではなく、脅威であると認識できていたはずだった」

　ピーターソン氏は、ハッカー集団同士の競争から新たな脅威が浮上することもあると指摘する。企業に対しては、TelnetやSimple Network Management Protocol（SNMP）、USBデバイスをドライブとして自動的に認識するUPnP（Universal Plug and Play）など、セキュリティに不備があったり使っていなかったりするプロトコルを調べて遮断し、不正アクセスを防ぐようアドバイスしている。加えて、ネットに接続するデバイスのパスワードがデフォルト設定のままになっていないかどうかチェックして、できるだけ早く新しいパスワードを設定するよう促した。