¿Cómo se logró desmantelar la red de bots Sality después de dos décadas?

En una importante operación policial internacional, la red de piratería informática Sality, una de las botnets peer-to-peer (P2P) más antiguas y persistentes del mundo, finalmente ha sido desmantelada tras casi un cuarto de siglo. Detectado por primera vez por expertos en 2003, este sistema malicioso se ha utilizado a lo largo de los años para propagar diversos tipos de malware, incluyendo herramientas de robo de datos, servicios proxy y software para llevar a cabo ataques de denegación de servicio.

En los últimos ocho años, la red se ha utilizado principalmente para difundir la herramienta EggJagger, un código especializado para reemplazar el portapapeles que, según se estima, ha reportado a los atacantes al menos 132.800 euros en criptomonedas bitcoin y ethereum.

La clave de la increíble longevidad de Sality residía en su arquitectura. Se propagaba como un virus informático clásico, adhiriéndose a archivos ejecutables en discos duros y medios extraíbles. Dado que no dependía de un único servidor de comando central para actualizar su código, era extremadamente difícil desactivarlo por completo.

Irónicamente, el mismo protocolo que había permitido que la red sobreviviera durante más de 20 años se convirtió también en su mayor debilidad. La red confiaba ciegamente en todos los ordenadores conectados sin verificar sus identidades ni requerir autenticación alguna. Los dispositivos infectados, o bots, comprobaban periódicamente la accesibilidad de otros dispositivos en su lista de los llamados superenlaces, que constituían la columna vertebral de la red P2P. Los ordenadores accesibles ganaban gradualmente la confianza, mientras que los inaccesibles acababan siendo eliminados de la lista.

Expertos de CrowdStrike aprovecharon este comportamiento específico. Mediante la manipulación del protocolo, eliminaron gradualmente enlaces legítimos de las listas, aislando así los ordenadores infectados. Al mismo tiempo, redirigieron el tráfico del sistema a sus propios servidores falsos, o servidores sumidero.

En una operación coordinada con las fuerzas del orden de Estados Unidos, Bulgaria, Hungría y Rumanía, incautaron y eliminaron los sitios web que alojaban los archivos maliciosos, impidiendo que los dispositivos infectados recibieran más actualizaciones. Esto impidió que los delincuentes que operaban la red Sality se comunicaran con los ordenadores infectados, ya que los dispositivos fueron redirigidos a la infraestructura segura de CrowdStrike.

Como parte de la operación, la Fundación Shadowserver está colaborando con proveedores de servicios de Internet y equipos nacionales de respuesta a incidentes de ciberseguridad (CSIRT, por sus siglas en inglés) para identificar a todas las víctimas y ayudar en la limpieza completa de sus ordenadores.