Правоохранительные органы нескольких стран совместно со специалистами CrowdStrike и Shadowserver Foundation нарушили работу P2P-ботнета Sality, который был активен более 23 лет. В рамках этой операции специалисты нарушили работу каналов управления ботнетом, изолировали зараженные машины и изъяли связанные с Sality домены.
Операцию против ботнета координировали Европол и Евроюст. В США Министерство юстиции, ФБР и Служба криминальных расследований Минобороны США (DCIS) изъяли связанные с Sality домены. В Болгарии, Венгрии и Румынии правоохранители конфисковали дополнительную инфраструктуру ботнета, размещенную в Европе.
Ботнет Sality появился еще в 2003 году и, по данным следствия, насчитывал более 15 000 зараженных устройств по всему миру. За прошедшие 23 года ботнет был задействован в самой разной вредоносной активности, включая распространение множества вредоносов (в том числе, малварь для кражи учетных данных), рассылку спама, организацию прокси-сервисов, кибератаки и DDoS.
Специалисты компании CrowdStrike связывают Sality с группировкой SALTY SPIDER и предполагают, что ее участники действуют с территории Республики Башкортостан.
По данным исследователей, на протяжении последних восьми лет основной полезной нагрузкой ботнета был клипер EggJagger. Этот вредонос следит за буфером обмена жертвы и, обнаружив там адрес криптовалютного кошелька, незаметно подменяет адресом атакующих. В результате платеж, который жертва собиралась отправить в Bitcoin- или Ethereum-кошелек, уходит преступникам. По оценке CrowdStrike, с помощью одного только EggJagger операторы Sality похитили не менее 150 000 долларов США в криптовалюте.
На момент проведения операции эксперты отслеживали две отдельные P2P-сети Sality. Чтобы отрезать их от операторов, специалисты провели sinkhole-атаку на механизм, который отвечает за взаимодействие ботов между собой. Так, на каждой зараженной машине хранится список известных суперпиров (super peer) — публично доступных зараженных хостов, составляющих основу P2P-сети. Примерно раз в 40 минут бот проверяет доступность пиров и удаляет из списка те, которые перестали отвечать.
Специалисты воспользовались этим механизмом и начали последовательно вытеснять из списков настоящие суперпиры, перенаправляя ботов в подконтрольную им инфраструктуру. В результате все больше зараженных машин оказывались изолированы от ботнета и теряли связь с инфраструктурой хакеров.
После подмены суперпиров зараженные машины переставали получать как сами полезные нагрузки, так и инструкции для их загрузки. В CrowdStrike заявили, что после проведения этой операции «операторы больше не контролируют Sality».
Тем временем аналитики Shadowserver Foundation сообщают, что работают с провайдерами и командами реагирования на компьютерные инциденты (CSIRT), чтобы выявить оставшиеся зараженные устройства, предупредить их владельцев и помочь им с очисткой систем.
