Международная операция, объединившая усилия правоохранительных органов и экспертов компании CrowdStrike нарушилаБотнет Sality, функционировавший начиная с 2003 года, был нейтрализован в результате проведенной операции. В рамках этой кампании злоумышленникам был прерван канал управления зараженными устройствами, а доменные имена, используемые для инфраструктуры, были конфискованы в Соединенных Штатах Америки и ряде европейских государств.
Архитектура Sality была основана на одноранговой (P2P) технологии, что исключало зависимость от централизованного командного сервера. Зараженные компьютеры осуществляли обмен данными между собой, поэтому деактивация отдельных серверов не могла привести к полному уничтожению сети.
Для ликвидации ботнета специалисты использовали метод sinkholing. Исследователи внедрили собственные узлы в P2P-сеть и постепенно перенаправляли зараженные устройства на получение списка доверенных адресов, контролируемых защитниками. В итоге оператор Sality утратил способность распространять новые вредоносные компоненты на более чем 15 тысячах активных зараженных машин.
С инфраструктурой Sality за все время ее существования было связано свыше 11 миллионов уникальных IP-адресов, а в период наибольшей активности оператор имел возможность контролировать до миллиона устройств одновременно, сообщил Europol.
Первоначально вредоносный код Sality распространялся в виде файлового вируса, используя исполняемые файлы, сетевые диски и USB-накопители. Впоследствии ботнет стал применяться для осуществления спам-рассылок, DDoS-атак, проксирования интернет-трафика и распространения дополнительного вредоносного программного обеспечения.
Начиная с 2018 года, одним из ключевых элементов стала утилита EggJagger, предназначенная для отслеживания адресов криптовалютных кошельков, находящихся в буфере обмена операционной системы Windows, и последующей подмены их на адреса, контролируемые злоумышленниками. По оценкам специалистов CrowdStrike, таким образом оператор вредоносной программы получил не менее 150 тысяч долларов США в криптовалюте.
Вместе с действиями американских властей, власти Болгарии, Венгрии и Румынии провели блокировку доменов, ассоциирующихся с вредоносным ПО Sality. При этом организация Shadowserver Foundation начала предоставлять операторам связи данные о зараженных устройствах, чтобы они могли провести необходимые процедуры очистки. Данная операция проводилась с привлечением Федерального бюро расследований (ФБР), Министерства юстиции США, Europol и ряда других международных организаций.
