Une opération internationale coordonnée a démantelé les infrastructures clés utilisées par Sality, perturbant un botnet pair-à-pair qui est resté actif depuis plus de 20 ans.
Authorities in the United States et Europe a collaboré avec des entreprises privées de cybersécurité pour saisir des domaines et interférer avec le système de communication permettant aux opérateurs Sality de contrôler les ordinateurs infectés. L’opération impliquait le département de la Justice américain, le FBI et le Defense Criminal Investigative Service, avec le soutien d’Europol et Eurojust. Les autorités de Bulgarie, de Hongrie et de Roumanie ont également saisi des domaines liés à Sality hébergés en Europe.
CrowdStrike a participé à l’opération en ciblant l’infrastructure pair-à-pair reliant les appareils infectés. Au lieu de dépendre entièrement des serveurs de commande et de contrôle centralisés traditionnels, Sality a utilisé des machines infectées pour communiquer avec d’autres membres du botnet, rendant son infrastructure plus difficile à désactiver par des saisies de serveurs conventionnelles.
Les enquêteurs et chercheurs ont perturbé ce réseau en utilisant une opération de gouffre ciblant les « super pairs » connus de Sality, qui servaient de points de communication importants entre les systèmes infectés. L’intervention a empêché que les fichiers malveillants et les instructions de téléchargement de charges utiles supplémentaires ne continuent de se propager dans le réseau.
CrowdStrike says l’opération a laissé l’infrastructure restante des botnets Sality hors du contrôle de ses opérateurs.
Sality est apparu pour la première fois en 2003 et s’est développé en une opération de malware de longue durée, capable d’utiliser des ordinateurs Windows infectés pour de multiples formes de cybercriminalité. Plus de 15 000 appareils ont été infectés par des malwares grâce à cette opération depuis son apparition.
CrowdStrike attribue Sality à un groupe de cybercriminalité qu’il suit sous le nom de SALTY SPIDER, que les chercheurs pensent opérer probablement depuis la République de Bachkortostan en Russie. Cette attribution provient de la société de sécurité plutôt que des autorités policières.
Au cours de sa longue histoire, Sality a été associé à des logiciels malveillants utilisés pour le vol d’identifiants, les campagnes de spam, les services proxy, l’exploitation de réseaux et les attaques de déni de service distribué.
Plus récemment, cependant, la fonction du botnet s’est de plus en plus concentrée sur le vol de cryptomonnaies.
Deux réseaux Sality qui étaient encore opérationnels avant la suppression étaient principalement utilisés pour distribuer EggJagger. Le malware effectue une technique appelée clipjacking, qui consiste à surveiller le clipboard d’un ordinateur infecté à la recherche d’adresses de portefeuilles de cryptomonnaies.
Lorsqu’une victime copie une adresse de portefeuille avant d’effectuer une transaction, EggJagger peut la remplacer silencieusement par une adresse contrôlée par les attaquants. Un utilisateur qui ne remarque pas la substitution peut alors envoyer des cryptomonnaies directement aux criminels plutôt qu’au destinataire prévu.
CrowdStrike affirme qu’EggJagger a été la principale charge utile de malwares de Sality pendant environ huit ans.
L’opération internationale visait à la fois les domaines supportant Sality et l’architecture pair-à-pair qui permettait aux ordinateurs infectés de recevoir de nouvelles instructions et malwares. En redirigeant les points de communication critiques et en supprimant les informations paires des systèmes infectés, les enquêteurs ont pu isoler les machines du réseau criminel.
Après avoir opéré sans interruption pendant plus de vingt ans, Sality n’est plus sous le contrôle de ses opérateurs, selon CrowdStrike.