Una de las redes de bots más antiguas de Internet y una de las amenazas más persistentes ha sido desmantelada tras más de dos décadas en la red.

El 31 de agosto, CrowdStrike, durante la conferencia Day Zero Threat Research, en colaboración con el Departamento de Justicia de EE. UU., el FBI, el Servicio de Investigación Criminal de Defensa y la Fundación Shadowserver, y con el apoyo de Europol y las fuerzas del orden de Francia, Bulgaria y Rumanía, llevó a cabo una operación coordinada para desmantelar Sality, una red de bots peer-to-peer que llevaba activa desde 2003.

Sality proporcionaba a su operador la capacidad de distribuir cargas maliciosas a más de 15 000 equipos infectados en todo el mundo. A lo largo de su vida útil, se ha utilizado para distribuir una amplia variedad de familias de malware distintas, que abarcan el robo de credenciales, la distribución de spam, los servicios de proxy, la explotación de redes y los ataques DDoS. Durante los últimos ocho años, la carga útil principal ha sido EggJagger, una herramienta de «clipjacking» que supervisa el portapapeles en busca de direcciones de carteras de criptomonedas y las sustituye de forma silenciosa por direcciones controladas por el operador.

Sality ha resultado excepcionalmente difícil de desmantelar, ya que carece de una infraestructura tradicional de mando y control y no tiene un único punto de fallo. En su lugar, los equipos infectados se comunicaban directamente entre sí, creando una red descentralizada capaz de sobrevivir a los esfuerzos tradicionales de desmantelamiento y de volver a infectar continuamente los sistemas.

La operación hizo que esa arquitectura se volviera en su contra, aislando sistemáticamente los equipos infectados del operador de la red e impidiendo que recibieran nuevas instrucciones o cargas maliciosas. Desde la perspectiva del operador, los equipos infectados simplemente desaparecieron.

Puedes conocer más detalles técnicos sobre esta operación crucial en el blog de CrowdStrike.