Un’operazione internazionale coordinata ha smantellato infrastrutture chiave utilizzate da Sality, interrompendo una botnet peer-to-peer rimasta attiva per oltre 20 anni.
Authorities in the United States e l’Europa ha collaborato con aziende private di cybersecurity per sequestrare domini e interferire con il sistema di comunicazione che permetteva agli operatori Sality di controllare computer infetti. L’operazione ha coinvolto il Dipartimento di Giustizia degli Stati Uniti, l’FBI e il Defense Criminal Investigative Service, con il supporto di Europol e Eurojust. Le autorità di Bulgaria, Ungheria e Romania hanno inoltre sequestrato domini collegati a Sality ospitati in Europa.
CrowdStrike ha partecipato all’operazione prendendo di mira l’infrastruttura peer-to-peer che collega i dispositivi infetti. Invece di dipendere interamente dai tradizionali server centralizzati di comando e controllo, Sality ha utilizzato macchine infette per comunicare con altri membri della botnet, rendendo la sua infrastruttura più difficile da disabilitare tramite sequestri convenzionali dei server.
Investigatori e ricercatori hanno interrotto questa rete utilizzando un’operazione di voragine che mirava i noti “super peer” di Sality, che fungevano da importanti punti di comunicazione tra sistemi infetti. L’intervento ha impedito che file malware e istruzioni per il download di ulteriori payload continuassero a diffondersi nella rete.
CrowdStrike says l’operazione ha lasciato l’infrastruttura residua dei botnet Sality fuori dal controllo dei suoi operatori.
Sality è apparso per la prima volta nel 2003 e si è sviluppato in un’operazione malware di lunga durata, capace di utilizzare computer Windows infetti per molteplici forme di crimine informatico. Oltre 15.000 dispositivi sono stati infettati da malware attraverso l’operazione dalla sua emergenza.
CrowdStrike attribuisce Sality a un gruppo di criminali informatici che monitora come SALTY SPIDER, che i ricercatori ritengono probabilmente operando dalla Repubblica di Bashkortostan in Russia. L’attribuzione proviene dalla società di sicurezza piuttosto che dalle autorità di polizia.
Nel corso della sua lunga storia, Sality è stato associato a malware utilizzati per il furto di credenziali, campagne di spam, servizi proxy, sfruttamento delle reti e attacchi di negazione del servizio distribuiti.
Più recentemente, tuttavia, lo scopo della botnet si è sempre più concentrato sul furto di criptovalute.
Due reti Sality che erano ancora operative prima della rimozione venivano utilizzate principalmente per distribuire EggJagger. Il malware esegue una tecnica nota come clipjacking, monitorando la cartellina di un computer infetto alla ricerca di indirizzi di wallet di criptovalute.
Quando una vittima copia un indirizzo wallet prima di effettuare una transazione, EggJagger può silenziosamente sostituirlo con un indirizzo controllato dagli attaccanti. Un utente che non si accorge della sostituzione può quindi inviare criptovalute direttamente ai criminali invece che al destinatario previsto.
CrowdStrike afferma che EggJagger è stato il principale payload malware di Sality per circa otto anni.
L’operazione internazionale ha preso di mira sia i domini che supportano Sality sia l’architettura peer-to-peer che permetteva ai computer infetti di ricevere nuove istruzioni e malware. Reindirizzando punti di comunicazione critici e rimuovendo informazioni peer dai sistemi infetti, gli investigatori sono riusciti a isolare le macchine dalla rete criminale.
Dopo aver operato ininterrottamente per oltre due decenni, Sality non è più sotto il controllo dei suoi operatori, secondo CrowdStrike.