Una operación internacional coordinada ha desmantelado infraestructuras clave utilizadas por Sality, interrumpiendo una botnet peer-to-peer que ha permanecido activa durante más de 20 años.
Authorities in the United States y Europa colaboró junto a empresas privadas de ciberseguridad para confiscar dominios e interferir con el sistema de comunicación que permitía a los operadores de Sality controlar ordenadores infectados. La operación involucró al Departamento de Justicia de EE. UU., el FBI y el Servicio de Investigación Criminal de Defensa, con el apoyo de Europol y Eurojust. Las autoridades de Bulgaria, Hungría y Rumanía también incautaron dominios vinculados a Sality alojados en Europa.
CrowdStrike participó en la operación atacando la infraestructura peer-to-peer que conecta los dispositivos infectados. En lugar de depender completamente de los servidores centralizados tradicionales de mando y control, Sality utilizó máquinas infectadas para comunicarse con otros miembros de la botnet, dificultando su desactivación mediante incautaciones convencionales de servidores.
Investigadores y investigadores interrumpieron esta red mediante una operación de socavón dirigida a los conocidos “superpares” de Sality, que actuaban como puntos de comunicación importantes entre sistemas infectados. La intervención evitó que los archivos de malware e instrucciones para descargar cargas útiles adicionales siguieran extendiéndose por la red.
CrowdStrike says la operación ha dejado la infraestructura restante de botnet Sality fuera del control de sus operadores.
Sality apareció por primera vez en 2003 y se desarrolló en una operación de malware de larga duración capaz de usar ordenadores Windows infectados para múltiples formas de ciberdelito. Más de 15.000 dispositivos han sido infectados con malware a través de la operación desde su aparición.
CrowdStrike atribui a Sality a un grupo cibercriminal que rastrea como SALTY SPIDER, que los investigadores creen que probablemente opera desde la República de Bashkortostán en Rusia. La atribución proviene de la empresa de seguridad y no de las autoridades policiales.
A lo largo de su larga historia, Sality se ha asociado con malware utilizado para robo de credenciales, campañas de spam, servicios proxy, explotación de redes y ataques distribuidos de denegación de servicio.
Sin embargo, más recientemente, el propósito de la botnet se había centrado cada vez más en el robo de criptomonedas.
Dos redes Sality que seguían operativas antes de la retirada se usaban principalmente para distribuir EggJagger. El malware realiza una técnica conocida como clipjacking, monitorizando el portapapeles de un ordenador infectado en busca de direcciones de monederos de criptomonedas.
Cuando una víctima copia una dirección de cartera antes de realizar una transacción, EggJagger puede reemplazarla silenciosamente por una dirección controlada por los atacantes. Un usuario que no detecte la sustitución puede entonces enviar criptomonedas directamente a los delincuentes en lugar de al destinatario previsto.
CrowdStrike afirma que EggJagger había sido la principal carga de malware de Sality durante aproximadamente ocho años.
La operación internacional se centró tanto en los dominios que soportaban Sality como en la arquitectura peer-to-peer que permitía a los ordenadores infectados recibir nuevas instrucciones y malware. Al redirigir puntos de comunicación críticos y eliminar información de pares de los sistemas infectados, los investigadores pudieron aislar máquinas de la red criminal.
Tras operar de forma continua durante más de dos décadas, Sality ya no está bajo el control de sus operadores, según CrowdStrike.