O operațiune internațională coordonată de autoritățile americane și sprijinită de Europol a dus la neutralizarea infrastructurii Sality, unul dintre cele mai longevive botneturi din lume, activ de peste două decenii. România s-a numărat printre țările care au intervenit asupra infrastructurii rețelei, despre care Europol spune că a fost asociată, de-a lungul timpului, cu peste 11 milioane de adrese IP unice și care, la apogeu, oferea acces la până la un milion de calculatoare infectate.
Operațiunea, desfășurată pe 31 august, a vizat infrastructura Sality din Statele Unite și Europa. La acțiune au participat autorități din România, Bulgaria, Ungaria și SUA, cu sprijinul Europol și al companiilor de securitate cibernetică CrowdStrike și Shadowserver Foundation.
Sality, activ de peste două decenii
Botnetul Sality a apărut în 2003 și a fost folosit pentru instalarea de programe malware pe calculatoare compromise. Dispozitivele infectate erau transformate în „boți” și integrate într-o rețea de tip peer-to-peer, prin care operatorii puteau transmite comenzi. Proprietarii calculatoarelor infectate nu știau, de regulă, că dispozitivele lor fuseseră compromise. Infrastructura putea fi utilizată pentru distribuirea de programe malware, furturi de criptomonede și atacuri cibernetice.
Cum au reușit autoritățile să blocheze rețeaua?
Sality avea o structură de tip peer-to-peer, diferită de botneturile controlate printr-un singur server central. Calculatoarele infectate comunicau direct între ele, ceea ce făcea infrastructura mai rezistentă și mai dificil de eliminat. Pentru a o neutraliza, anchetatorii și partenerii privați au folosit o tehnică numită „sinkholing”. Comunicațiile calculatoarelor infectate au fost redirecționate către infrastructură controlată de autorități, astfel încât dispozitivele compromise să nu mai poată comunica cu infrastructura criminală. Canalul prin care operatorii transmiteau comenzi a devenit astfel inutilizabil.
În Statele Unite, Departamentul de Justiție, FBI și Defense Criminal Investigative Service au confiscat domenii asociate Sality. În Europa, autoritățile din România, Bulgaria și Ungaria au luat măsuri împotriva altor domenii legate de botnet.
O anchetă desfășurată pe parcursul mai multor ani
Europol a sprijinit autoritățile implicate în identificarea și destructurarea infrastructurii Sality încă din 2017. Cooperarea s-a intensificat în perioada premergătoare operațiunii din 31 august, când autoritățile și partenerii privați au coordonat acțiunile pentru a lovi simultan infrastructura din mai multe jurisdicții. Operațiunea a reunit FBI, Departamentul de Justiție al SUA, Defense Criminal Investigative Service, Europol, autorități din România, Bulgaria și Ungaria, precum și specialiștii CrowdStrike și Shadowserver Foundation.
