Crowdstrike y autoridades desmantelan la botnet Sality tras 23 años de actividad
La red peer‑to‑peer, que llegó a controlar unos 15.000 dispositivos y robar más de 150 000 USD en cripto, fue cerrada mediante un sinkhole coordinado con FBI, DOJ y Europol.
Crowdstrike, junto a varias agencias de seguridad, ha conseguido desactivar Sality, una botnet que operó sin interrupción desde 2003. La infraestructura de la red, basada en un modelo peer‑to‑peer, dificultó su rastreo porque cada nodo se comunicaba con sus pares en lugar de con un servidor central. En su apogeo, la botnet contaba con alrededor de 15.000 endpoints infectados.
Durante más de una década, Sality sirvió como plataforma para desplegar todo tipo de malware: robos de credenciales, spam, servicios de proxy y ataques DDoS. Desde 2018, su principal carga útil fue EggJagger, un secuestrador de portapapeles que sustituyó direcciones de monederos de criptomonedas copiados por los usuarios, desviando los fondos a las carteras de los atacantes. Según Crowdstrike, esa actividad generó más de 150 000 USD para los operadores de la botnet.
El equipo de investigación implementó un sinkhole añadiendo sus propios dispositivos a la red. Cada vez que un nodo intentaba comunicarse con uno de estos dispositivos controlados por los investigadores, la lista de pares del bot se purgaba, dejándolo ciego y sin capacidad de recibir nuevas órdenes. Además, se coordinó con el Departamento de Justicia de EE. UU., el FBI, el DCIS, la Shadowserver Foundation y agencias europeas como Europol y Eurojust, para derribar los dominios que alojaban los archivos maliciosos.
"Disrupting Sality’s ability to download these files ensures that bots still carrying active URL packs cannot retrieve new payloads during the transition period", explicó Crowdstrike. La operación contó también con la participación de cuerpos policiales de Bulgaria, Hungría y Rumanía, y con colaboradores no identificados que aportaron información clave.
El cierre de Sality muestra que, pese a la sofisticación de las botnets peer‑to‑peer, la cooperación internacional y técnicas de sinkholing siguen siendo efectivas. Queda por ver si los criminales que controlaban la red intentarán revivirla bajo otro nombre o si esta acción desincentivará futuros intentos de crear infraestructuras similares.
