Uma operação internacional coordenada desmontou infraestruturas-chave usadas pela Sality, interrompendo uma botnet peer-to-peer que permaneceu ativa por mais de 20 anos.
Authorities in the United States e a Europa trabalhou ao lado de empresas privadas de cibersegurança para apreender domínios e interferir no sistema de comunicação que permitia aos operadores da Sality controlar computadores infectados. A operação envolveu o Departamento de Justiça dos EUA, o FBI e o Serviço de Investigação Criminal de Defesa, com apoio da Europol e Eurojust. Autoridades na Bulgária, Hungria e Romênia também apreenderam domínios vinculados à Sality hospedados na Europa.
A CrowdStrike participou da operação mirando na infraestrutura peer-to-peer que conecta dispositivos infectados. Em vez de depender inteiramente dos tradicionais servidores centralizados de comando e controle, a Sality usou máquinas infectadas para se comunicar com outros membros da botnet, tornando sua infraestrutura mais difícil de ser desativada por meio de apreensões convencionais de servidores.
Investigadores e pesquisadores interromperam essa rede usando uma operação de buraco de dolina que visava os conhecidos “super pares” de Sality, que atuavam como pontos de comunicação importantes entre sistemas infectados. A intervenção impediu que arquivos de malware e instruções para download de cargas adicionais continuassem a se espalhar pela rede.
CrowdStrike says a operação deixou a infraestrutura restante de botnet Sality fora do controle de seus operadores.
O Sality apareceu pela primeira vez em 2003 e se desenvolveu em uma operação de malware de longa duração, capaz de usar computadores Windows infectados para múltiplas formas de cibercrime. Mais de 15.000 dispositivos foram infectados com malware durante a operação desde seu surgimento.
A CrowdStrike atribui Sality a um grupo cibercriminoso que rastreia como SALTY SPIDER, que pesquisadores acreditam estar provavelmente operando a partir da República de Bashkortostão, na Rússia. A atribuição vem da empresa de segurança, e não das autoridades policiais.
Ao longo de sua longa história, a Sality tem sido associada a malwares usados para roubo de credenciais, campanhas de spam, serviços proxy, exploração de redes e ataques distribuídos de negação de serviço.
Mais recentemente, porém, o propósito da botnet passou a se concentrar cada vez mais no roubo de criptomoedas.
Duas redes Sality que permaneciam operacionais antes da remoção estavam sendo usadas principalmente para distribuir o EggJagger. O malware realiza uma técnica conhecida como clipjacking, monitorando a prancheta de um computador infectado em busca de endereços de carteiras de criptomoedas.
Quando uma vítima copia um endereço de carteira antes de fazer uma transação, o EggJagger pode substituí-lo silenciosamente por um endereço controlado pelos atacantes. Um usuário que não perceber a substituição pode então enviar criptomoedas diretamente para os criminosos em vez do destinatário pretendido.
CrowdStrike afirma que o EggJagger foi a principal carga útil de malware da Sality por aproximadamente oito anos.
A operação internacional mirou tanto os domínios que suportavam a Sality quanto a arquitetura peer-to-peer que permitia que computadores infectados recebessem novas instruções e malwares. Ao redirecionar pontos críticos de comunicação e remover informações de pares dos sistemas infectados, os investigadores conseguiram isolar máquinas da rede criminosa.
Após operar continuamente por mais de duas décadas, a Sality agora não está mais sob o controle de seus operadores, segundo a CrowdStrike.