初期ハッキングのデジタル考古学：Back OrificeからIRC C2へ
現代のサイバーセキュリティは、数十億ドル規模のEDRコンソール、RustでコンパイルされたeBPFプローブ、そして複雑なSigmaルールによって定義されることが多い。しかし、今日の脅威ランドスケープの概念的な基礎は、数十年前の、はるかに混沌とした環境、すなわち56kモデム、Windows 98マシン、そしてティーンエイジャーで溢れるチャットルームの時代に築かれた。
1990年代後半から2000年代初頭を振り返ると、ツールは原始的であったものの、運用セキュリティやコマンド＆コントロール（C2）に関するメンタルモデルは驚くほど先見の明があったことがわかる。これは「ベースメント・オペレーター（地下室の作業員）」の時代であり、数キロバイトのコードがリモートシステムへの完全な制御を可能にしていた。
リモート管理ツール（RAT）の台頭
90年代後半には、正当なシステム管理と悪意のある侵入の境界線を曖昧にするソフトウェアのカテゴリーであるRATが登場した。
Back OrificeとBO2K
1998年、Cult of the Dead Cow (CDC) は、Windows 95および98の固有のセキュリティ上の欠陥を示すために設計されたツール、Back Orificeをリリースした。これにより、ユーザーはファイルを閲覧し、画面をキャプチャし、キー入力を密かにログに記録することができた。その後継であるBack Orifice 2000 (BO2K) は、オープンソースの拡張性と暗号化通信を導入し、小さなフットプリント（多くの場合100KB未満）が壊滅的な効果を発揮し得ることを証明した。
NetBusとSub7
BO2Kが技術的に洗練されていた一方で、NetBusとSub7は一般層向けのツールとなった。NetBusは、その機能だけでなく、高名な犯罪事件で使用された後に確立された法的先例によっても悪名を馳せた。Delphiで書かれたSub7は、GUI、被害者のアドレス帳、そして通知のためのICQとの統合により、シーンに洗練されたレベルをもたらした。それは典型的な「skid（スキッド）」ツールであり、設定は極めて容易で、広く展開された。
ベースメントの十徳ナイフ
華やかなRATの他にも、今日のペネトレーションテスト業界の定番として残っている基礎的なユーティリティのセットが登場した。
- Nmap: Gordon Lyonのネットワークスキャナーは、偵察のゴールドスタンダードとなり、オペレーターが数分でサブネットをマッピングすることを可能にした。
- Netcat: しばしば「TCP/IPの十徳ナイフ」と呼ばれるNetcatの、ネットワーク接続に対して読み書きを行う能力は、原始的なシェルを作成したりファイルを転送したりするために不可欠であった。
- Password Cracking & Sniffing: John the Ripper、Cain & Abel、dsniff、ettercapといったツールが、資格情報の窃取とネットワーク傍受の重労働を担った。
- Wireless Exploitation: Aircrackの初期バージョンは、WEP暗号化が「礼儀正しい提案」に過ぎないことを示し始めた。
IRC: オリジナルのコマンド＆コントロール
この時代における最も重要なアーキテクチャ上の革新は、Internet Relay Chat (IRC) をC2メカニズムとして使用することであった。
サーバーコンポーネントをIRCチャンネル（EFnet上の#hackや#r00tなど）に統合することで、オペレーターは侵害されたマシンをIRCボットとして扱うことができた。これにより、C2インフラストラクチャは、オペレーターが制御しておらず、法執行機関が召喚状を送るのが困難な、無料のサードパーティ製サーバー上の正当なトラフィックの中に紛れ込むことができた。
このアーキテクチャは、Slack、Telegram、またはGoogle Driveの中にトラフィックを隠す現代のAPTの直接の祖先である。革新はテクノロジーではなく、既存の信頼されたインフラストラクチャを戦略的に使用して検知を回避することであった。
地域的な混乱：イタリアの取り締まり
グローバルなシーンには地域的な差異があったが、最も顕著なのはイタリアであった。インターネットの支配が確立される前、イタリアのコミュニティはFidonetを介したBBS (Bulletin Board Systems) で繁栄していた。この時代は1994年5月11日、Operation Hardware 1 によって唐突に終了した。 \nGuardia di Finanzaによる大規模な家宅捜索では、2人組の個人が海賊版ソフトウェアを配布しているという疑いに基づき、119のFidonetノードが標的となった。捜索は精度の欠けを特徴としており、警官たちはモデムから電源タップに至るまであらゆるものを押収した。この取り締まりはBBSコミュニティを devastated とさせたが、不注意にも、実践者たちをインターネットやIRCという、より分散型で家宅捜索が困難な環境へと押し出し、法とデジタル権利の交差点を深く理解するセキュリティプロフェッショナルの一世代を育んだ。
遺産と教訓
技術的な観点から見ると、2000年代初頭のツールの集合はデジタル考古学である。Sub7のGUIはVisual Basicの演習のように見え、BO2Kは現代のどのアンチウイルスソフトでもミリ秒単位で検知されるだろう。しかし、運用ロジックは同じである：
"The idea that you could use a compromised machine as a relay node, that C2 traffic should blend into legitimate traffic, that operators should avoid reusing infrastructure: these were present in the late 1990s toolkit and they are present in every serious threat actor's playbook today."
多くの人にとって、この時代は「過酷な修行期間」であった。あるコミュニティメンバーが回想するように、子供の頃に自分のPCが「pwned」されたことは、セキュリティの仕組みを理解しようとする生涯の原動力となった。他の人々は、これらのツールの危険性を身をもって学んだ。一部のユーザーは、多くの「skids」が誤って自身のドロッパーを実行してしまうことを指摘しており、巧妙な防御側は巧妙に実行ファイルの末尾に設定変数を読み取り、攻撃者へと接続を戻すことができた。
最終的に、1990年代後半の混乱——毒性のあるIRC channels、原始的なRATs、そして無謀的な法的な取り締まり——は、現代のサイバーセキュリティの専門職としての訓練場を提供した。ツールは変わったが、好奇心と敵対的なマインドセットは全く同一である。