El botnet Sality cae tras un ataque de sinkhole P2P

El Departamento de Justicia de EE. UU. anunció el martes la eliminación del botnet Sality, una red P2P que ha infectado computadoras desde 2003. El operativo, llevado a cabo el 31 de agosto de 2026, contó con la colaboración de autoridades de Bulgaria, Hungría y Rumanía, así como de CrowdStrike y la Shadowserver Foundation.

El objetivo era cerrar la red de comando y control de Sality. Para ello, se implantó un sinkhole que se conectó a la propia infraestructura P2P del malware, aislando a cada nodo y negándole la posibilidad de recibir nuevas cargas. Los dominios vinculados a Sality fueron confiscados en EE. UU. y Europa.

"Los ciberdelincuentes y los botnets representan una amenaza real para la seguridad nacional y la economía", dijo Bill Essayli, primer asistente del fiscal de EE. UU. La operación demuestra cómo la cooperación público‑privada puede erradicar amenazas.

Sality ha sido descrito por la comunidad como un infector de archivos Windows que distribuye herramientas de robo de credenciales, spam, proxies y ataques DDoS. Entre sus variantes más conocidas se encuentra EggJagger, un clipper que sustituye direcciones de criptomonedas en el portapapeles para redirigir pagos. Se estima que los atacantes han obtenido al menos 150 000 USD.

El botnet también ha ejecutado campañas DDoS contra foros financieros, industriales y políticos, lo que indica que los actores están dispuestos a usar la infraestructura para fines de influencia.

La distribución de Sality ocurre a través de recursos compartidos, dispositivos USB, intercambio de archivos, sitios comprometidos, adjuntos de correo y, principalmente, la red P2P. Esta última permite que el malware se auto‑propague sin intervención del atacante.

El ataque de sinkhole se basó en la técnica de manipulación de listas de pares, ya empleada en la caída de GameOver Zeus y Kelihos. Sality confía ciegamente en la red P2P y no verifica la identidad de los pares. Si un host responde correctamente al handshake, se considera un superpeer y gana reputación.

Los operadores de la operación introdujeron entradas falsas en la lista de pares, eliminando los superpeers legítimos y reemplazándolos por nodos de sinkhole. Una vez aislados, tanto los paquetes de URL como los de archivos dejaron de propagarse. La mayoría de las máquinas infectadas se encuentran detrás de firewalls y NAT, por lo que solo podían comunicarse con los nodos de sinkhole. Cuando estos se conectaban, la lista de pares se vaciaba, dejando a la máquina aislada permanentemente.

CrowdStrike explicó que la resiliencia de Sality, basada en la falta de parches y la propagación por archivos, fue la misma que permitió su destrucción. La red no podía actualizarse desde un servidor C2; su única forma de propagación era adjuntarse a ejecutables.

Con la caída de Sality, se neutraliza un botnet que había operado durante casi dos décadas, demostrando que los mismos mecanismos que lo hicieron resistente también pueden ser su perdición.

El futuro dependerá de cómo los ciberdelincuentes adapten nuevas redes P2P y de la rapidez con la que las agencias de seguridad puedan responder. Pero el caso de Sality sirve como advertencia de que incluso las amenazas más antiguas pueden ser derrotadas con la estrategia adecuada.