Por fin desactivan uno de los botnets más antiguos: Sality llevaba activo desde la era de Windows XP.

La botnet Sality surgió en la época de Windows XP y sobrevivió a más de dos décadas de lucha contra la ciberdelincuencia. El 31 de agosto, las autoridades de Estados Unidos y europeas, junto con CrowdStrike y la Shadowserver Foundation, cortaron el acceso del operador a una de las botnets activas más antiguas de Internet. El presunto organizador procedente de Rusia, sin embargo, quedó en libertad.

Sality se detectó por primera vez en 2003 como un virus de archivos que inyectaba código en ejecutables de Windows y se propagaba por carpetas de red, medios extraíbles e intercambio de archivos. Más tarde, el malware se convirtió en una botnet P2P descentralizada, en la que los equipos infectados se transmitían órdenes entre sí sin un servidor de control único. Ese esquema impidió durante años desactivar la red de un solo golpe.

A lo largo de su historia, a Sality se le relacionó con más de 11 millones de direcciones IP únicas, y en su apogeo el operador podía controlar hasta un millón de dispositivos. Antes de la operación, la red aún permitía entregar cargas maliciosas a más de 15.000 ordenadores en todo el mundo.

A través de Sality se distribuían programas para el robo de credenciales, spam, servicios proxy e instrumentos para ataques DDoS. Durante los últimos ocho años, la carga principal fue EggJagger, que vigilaba el portapapeles y reemplazaba la dirección de la cartera de criptomonedas antes de una transferencia. CrowdStrike estima que los beneficios confirmados del operador por medio de EggJagger ascienden como mínimo a 12,1 millones de rublos, unos 150.000 dólares.

Para desmantelar Sality, los especialistas aprovecharon la debilidad de la propia arquitectura P2P. Cada equipo infectado almacenaba una lista de "supernodos" disponibles y los comprobaba aproximadamente cada 40 minutos. Los investigadores introdujeron sus propios nodos y obligaron a las máquinas infectadas a eliminar a los participantes reales de la red. Como resultado, los equipos dejaron de recibir nuevas órdenes y cargas maliciosas del propietario de la botnet.

Paralelamente, EE. UU. incautó dominios relacionados con Sality, y las fuerzas de seguridad de Bulgaria, Hungría y Rumanía derribaron dominios adicionales en Europa. Shadowserver ayuda a proveedores y equipos de respuesta a identificar sistemas infectados y a notificar a los propietarios.

En el análisis técnico de CrowdStrike se subraya que el malware instalado no ha desaparecido. La operación privó al propietario del canal de mando y de la posibilidad de enviar nuevas instrucciones, por lo que los equipos infectados deben limpiarse igualmente.

El Departamento de Justicia de EE. UU. confirmó la operación el 1 de septiembre. La identidad del propietario de Sality no ha sido revelada públicamente y no se han anunciado arrestos. Las autoridades estadounidenses vinculan la infraestructura con Rusia, y el presunto operador sigue en libertad.