Sality zneutralizowany po 23 latach działania

Sality po 23 latach został odcięty od ofiar

Międzynarodowe służby i firmy z branży cyberbezpieczeństwa przeprowadziły skoordynowaną operację przeciwko Sality — jednemu z najdłużej działających botnetów w historii. W jej efekcie przejęto domeny powiązane z infrastrukturą malware, a sieć peer-to-peer botnetu została skierowana do sinkhole, czyli kontrolowanych serwerów odcinających ją od operatora.

Sality działał od 2003 roku i przez lata uchodził za wyjątkowo trudny do wyłączenia właśnie dlatego, że nie opierał się na jednym centralnym serwerze C2. Zamiast tego wykorzystywał P2P, dzięki czemu zainfekowane komputery komunikowały się między sobą i pomagały w dalszej dystrybucji szkodliwego oprogramowania.

Jak działał botnet

Sality infekował pliki wykonywalne Windows, a następnie rozprzestrzeniał się dalej różnymi kanałami, m.in. przez:

• zainfekowane udziały sieciowe,
• pendrive'y i inne nośniki USB,
• pliki pobierane z sieci,
• wiadomości e-mail z załącznikami,
• kompromitowane strony internetowe,
• własną sieć P2P.

Po infekcji botnet mógł pobierać kolejne ładunki szkodliwe. Jednym z nich był EggJagger — narzędzie typu clipper, które podmieniało adresy portfeli kryptowalut kopiowane do schowka. Według ustaleń zebranych przy okazji operacji w ten sposób sprawcy mieli ukraść co najmniej 150 tys. dolarów.

Sality był też wykorzystywany do ataków DDoS. Wśród wskazanych celów znalazły się serwisy w 2016, 2022 i 2023 roku, co pokazuje, że botnet służył nie tylko do kradzieży, ale też do uderzeń o charakterze zakłócającym.

Skala zagrożenia była ogromna

Z informacji przekazanych po operacji wynika, że Sality mógł wykorzystywać ponad 15 tys. zainfekowanych maszyn na całym świecie. W innym podsumowaniu liczba urządzeń, które przeszły przez ten botnet przez cały okres jego działania, została oszacowana nawet na ponad 11 milionów.

Istotne było to, że Sality nie dało się po prostu „wyłączyć” jednym ruchem. Jego P2P miał własne mechanizmy zaufania do listy peerów, ale nie weryfikował ich tożsamości w sposób, który uniemożliwiałby manipulację. To właśnie wykorzystano podczas neutralizacji: operatorzy akcji podmienili listy peerów i stopniowo odcięli zainfekowane hosty od prawdziwego zarządcy botnetu.

Wspólna operacja służb i branży

W działaniach uczestniczyły organy ścigania i zespoły z kilku krajów, w tym ze Stanów Zjednoczonych, Bułgarii, Węgier i Rumunii, a także partnerzy z sektora prywatnego. Wsparcie zapewniły też instytucje zajmujące się obserwacją ruchu sieciowego i pomocą w remediacji.

W ramach akcji przejęto także zestaw domen hostujących komponenty Sality. Dodatkowo zainfekowane maszyny zostały skierowane do kontrolowanych serwerów sinkhole, co oznacza, że botnet utracił możliwość przekazywania nowych poleceń i pobierania świeżych payloadów.

W praktyce nie usuwa to jednak samego malware z urządzeń. Komputery, które były już zainfekowane, nadal wymagają ręcznego sprawdzenia i oczyszczenia.

Jak rozpoznać infekcję

Po operacji zalecono analizę logów sieciowych i telemetrii endpointów pod kątem ruchu UDP do adresu 188.166.101.148. Każde takie dopasowanie może wskazywać na infekcję Sality i konieczność podjęcia działań naprawczych.

Dlaczego to ważne

Neutralizacja Sality pokazuje, że nawet botnet oparty na architekturze P2P nie jest nieśmiertelny. Tego typu infrastruktura przez lata uchodziła za wyjątkowo odporność na klasyczne akcje typu „take down”, ale odpowiednio przygotowana operacja może wykorzystać jej własne mechanizmy przeciwko niej.

To także przypomnienie, że stare, długo działające botnety nadal potrafią być groźne — zwłaszcza gdy łączą kradzież kryptowalut, rozsyłanie kolejnych malware i ataki DDoS w jednej, rozproszonej sieci.