O Departamento de Justiça dos Estados Unidos (DoJ) anunciou na terça-feira a desarticulação da botnet peer-to-peer (P2P) de longa duração Sality, como parte de uma operação coordenada de aplicação da lei realizada em 31 de agosto de 2026 por autoridades dos Estados Unidos, Bulgária, Hungria e Romênia, em colaboração com parceiros da iniciativa privada, como CrowdStrike e Shadowserver Foundation.
Como parte da ação, o DoJ, o FBI e o DCIS apreenderam domínios ligados à Sality nos Estados Unidos, enquanto autoridades da Bulgária, Hungria e Romênia fizeram o mesmo com outros domínios vinculados à campanha e hospedados na Europa. Paralelamente, a equipe Counter Adversary Operations da CrowdStrike conduziu uma operação de sinkhole em uma rede P2P para neutralizar a ameaça e isolar as máquinas infectadas.
“Criminosos cibernéticos, botnets e malware representam um perigo claro e presente para a segurança e a economia do nosso país”, afirmou Bill Essayli, primeiro procurador-assistente dos Estados Unidos. “Este esforço bem-sucedido para derrubar a botnet Sality mostra que, quando setor público e setor privado trabalham juntos, podem ser uma força poderosa para o bem.”
A Sality está ativa desde 2003 e tem capacidade de infectar e modificar arquivos executáveis do Windows, além de espalhar outros softwares maliciosos voltados ao roubo de credenciais, distribuição de spam, serviços de proxy, exploração de rede e ataques de negação de serviço distribuída, ou DDoS.
Ao longo dos anos, várias variantes desse malware para Windows passaram a se comunicar por meio de uma rede P2P, o que permitiu contornar as táticas tradicionais de desligamento de servidores de command and control, ou C2. Segundo a CrowdStrike, a botnet teria permitido ao operador distribuir payloads maliciosos para mais de 15.000 máquinas infectadas em todo o mundo.
“As máquinas das vítimas infectadas com Sality faziam parte de uma botnet peer-to-peer (P2P), que é uma rede de computadores, cada um deles um bot, infectados com o malware Sality e controlados pelo operador do Sality”, informou o DoJ.
Segundo a CrowdStrike, duas redes P2P independentes, conhecidas como versão 3 e versão 4, permaneceram ativas até a interrupção da operação e compartilhavam a mesma base de código, embora usassem versões de protocolo incompatíveis e chaves criptográficas diferentes.
A Sality foi distribuída por vários meios, incluindo compartilhamentos de rede infectados, dispositivos USB, compartilhamento de arquivos, sites comprometidos, anexos de e-mail e redes P2P, resultando em uma botnet autorreplicante, capaz de gerar novas infecções sem exigir qualquer ação ativa do threat actor.
Um dos principais payloads distribuídos pela Sality é o EggJagger, uma ferramenta de clipper ou clipjacking que monitora continuamente a área de transferência do dispositivo em busca de endereços de carteiras de criptomoedas e os substitui de forma furtiva por endereços controlados pelo threat actor, desviando transações. Estima-se que os operadores tenham roubado pelo menos US$ 150.000 com esse método.
Ao longo de sua história, o Sality distribuiu uma ampla variedade de famílias distintas de malware, envolvendo roubo de credenciais, distribuição de spam, serviços de proxy, exploração de redes e ataques de DDoS, afirmou a empresa de cibersegurança. Embora suas operações sejam movidas principalmente por ganho financeiro, o malware também foi usado em três campanhas relevantes de DDoS, evidenciando a disposição do threat actor em reutilizar a botnet para fins pessoais ou políticos, segundo a CrowdStrike. Os ataques tiveram como alvo Arabic Financial Forum (“forex2030[.]com”) em abril de 2016, Ukrainian Forum (“kharkovforum[.]com”) em fevereiro de 2022, um dia após a invasão em larga escala da Ucrânia pela Rússia, e AvanChange em setembro de 2023.
Em julho de 2022, a empresa de cibersegurança para tecnologia operacional Dragos revelou uma campanha que mirava engenheiros e operadores industriais para assumir o controle de Controladores Lógicos Programáveis (PLCs) e incorporar esses dispositivos à botnet Sality.
A botnet P2P foi interrompida pelo redirecionamento para sinkhole da lista de super peers conhecidos da Sality, que formam sua espinha dorsal de comunicação, para bloquear a propagação de file packs, ou transferências diretas de payload, e de URL packs, ou instruções de download de payload, além de limpar as listas de peers das máquinas infectadas.
A contraofensiva utilizou uma técnica chamada manipulação da lista de pares, também empregada na interrupção das botnets GameOver Zeus, em 2014, e Kelihos, em 2017. O método explora o fato de que os bots da Sality confiavam cegamente na rede P2P, sem verificar quem era incluído nela. Como qualquer máquina publicamente acessível que respondesse corretamente ao handshake P2P podia ser aceita como par legítimo, sem autenticação, identidade criptográfica ou allowlist, “qualquer pessoa” podia ingressar na rede como participante pleno.
Como o nome sugere, a técnica de manipulação da lista de pares consiste em adulterar essa estrutura de dados, que contém um conjunto finito de super peers conhecidos, máquinas infectadas acessíveis publicamente e que servem de base para a rede P2P. A botnet verifica a cada 40 minutos se os pares armazenados ainda estão online. Os que respondem acumulam reputação, enquanto os que falham perdem reputação e acabam removidos.
Esse ciclo de manutenção é explorado para retirar pares legítimos da rede por meio de manipulação no nível do protocolo durante a verificação e inserir entradas de sinkhole preparadas para ocupar a lista esvaziada. “A interrupção mira primeiro os super peers, já que eles formam a espinha dorsal da comunicação da rede”, disse a CrowdStrike. “Uma vez isolados, tanto os pacotes de URL quanto os pacotes de arquivos deixam de se propagar. A maioria das infecções fica atrás de firewall ou de tradução de endereços de rede (NAT) e não pode ser contatada diretamente.”
Para essas máquinas, adota-se uma abordagem mais passiva. Quando elas se conectam aos nós de sinkhole durante seus ciclos normais de manutenção, suas listas de pares são limpas, deixando-as isoladas de forma permanente. Além de redirecionar a rede P2P para sinkholes, a operação coordenada também derrubou as URLs identificadas como hospedeiras dos payloads da Sality, impedindo que o malware baixasse arquivos adicionais.
As URLs identificadas foram:
- theunforgiven.p8[.]hu/img/top.gif
- painelwebradiodigital.awardspace[.]info/v3/readme.pdf
- sgwebdesigner.free[.]fr/left.gif
- www.yonelco[.]com/icon.png
- pozdravizbeograda[.]com/readme.pdf
- highclass.atspace[.]com/styles.gif
- situluimihai.3x[.]ro/top.png
- gatheredovertime[.]com/nb4
- imagebucket[.]biz/nv4
Todas as máquinas infectadas pela Sality agora estão configuradas para se comunicar com sinkholes operados pela CrowdStrike. As organizações são orientadas a revisar logs de rede e telemetria de endpoint em busca de tráfego UDP para o endereço IP “lighthouse” 188.166.101[.]148. Qualquer correspondência indica uma infecção por Sality que exige remediação.
“As mesmas propriedades que tornaram a Sality resiliente também criaram as condições para sua queda”, explicou a CrowdStrike. “O protocolo P2P da Sality não pode ser corrigido com patch. Diferentemente do malware convencional, que pode receber atualizações de código a partir de um servidor C2, o mecanismo de propagação da Sality é um infectador de arquivos: ele se espalhava ao se anexar a executáveis no disco.”
“Esta operação demonstra que a arquitetura P2P, por muito tempo considerada um escudo contra interrupções, não é invencível”, afirmou a CrowdStrike. “Com investimento técnico suficiente, compreensão precisa do comportamento do protocolo e coordenação com autoridades e parceiros da indústria, até a infraestrutura criminosa mais resiliente pode ser desmontada.”
“Embora a interrupção impeça que novos payloads cheguem às máquinas infectadas, o malware já instalado nesses sistemas continua ativo e deve ser removido.”
O desmantelamento é um dos pilares da Estratégia Cibernética para a América do presidente Donald Trump. Chamado de “Shape Adversary Behavior”, o plano busca identificar e interromper redes maliciosas, ampliar capacidades nacionais e alterar o cálculo do adversário ao degradar suas ferramentas e infraestrutura.
“Essa colaboração única entre autoridades internacionais e parceiros do setor privado apenas fortalece as capacidades de cibersegurança do FBI e nossos esforços para neutralizar a ameaça representada pela botnet Sality”, disse Patrick Grandy, diretor assistente responsável pelo Escritório de Los Angeles do Federal Bureau of Investigation (FBI).
“O FBI continuará trabalhando com nossos parceiros para impedir novos ataques cibernéticos e roubos contra vítimas nos Estados Unidos.”
Desde o início do ano, autoridades de todo o mundo desmantelaram outras operações de cibercrime em ações conjuntas internacionais.
Em março, autoridades dos Estados Unidos e da Europa, junto com parceiros privados, interromperam a rede de proxy de cibercrime SocksEscort e derrubaram a infraestrutura de command and control, ou C2, usada pelas botnets Aisuru, KimWolf, JackSkid e Mossad.
Mais recentemente, autoridades holandesas tiraram do ar, em maio, uma botnet massiva com 17 milhões de dispositivos, e uma operação liderada pelo FBI interrompeu as plataformas de invasão QScan e QTRouter usadas por grupos chineses de ciberespionagem.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...