Comment le réseau de bots Sality a-t-il été démantelé après deux décennies ?

Dans le cadre d'une importante opération internationale de police, le réseau de piratage Sality, l'un des botnets peer-to-peer (P2P) les plus anciens et les plus persistants au monde, a finalement été démantelé après près de vingt-cinq ans d'activité. Repéré pour la première fois par des experts en 2003, ce système malveillant a servi à diffuser divers types de logiciels malveillants au fil des ans, notamment des outils de vol de données, des services proxy et des logiciels permettant de mener des attaques par déni de service.

Au cours des huit dernières années, le réseau a principalement servi à diffuser l'outil EggJagger, un code spécialisé de remplacement du presse-papiers qui aurait rapporté aux attaquants au moins 132 800 € en cryptomonnaies bitcoin et ethereum.

La clé de l'incroyable longévité de Sality résidait dans son architecture. Il se propageait comme un virus de fichiers classique, s'attachant aux fichiers exécutables sur les disques durs et les supports amovibles. N'étant dépendant d'aucun serveur de commande central pour la mise à jour de son code, il était extrêmement difficile à désactiver complètement.

Paradoxalement, le protocole même qui avait permis au réseau de survivre pendant plus de 20 ans est aussi devenu sa plus grande faiblesse. Le réseau faisait aveuglément confiance à tous les ordinateurs connectés, sans vérifier leur identité ni exiger d'authentification. Les appareils infectés, ou bots, contrôlaient régulièrement l'accessibilité des autres appareils figurant sur leur liste de « superliens », qui constituaient l'épine dorsale du réseau P2P. Les ordinateurs accessibles gagnaient progressivement en fiabilité, tandis que ceux qui étaient inaccessibles étaient finalement retirés de la liste.

Ce comportement spécifique a été exploité par des experts de CrowdStrike. En manipulant le protocole, ils ont progressivement supprimé les liens légitimes des listes, isolant ainsi les ordinateurs infectés. Parallèlement, ils ont redirigé le trafic du système vers leurs propres serveurs factices, ou serveurs « sinkhole ».

En collaboration avec les forces de l'ordre des États-Unis, de Bulgarie, de Hongrie et de Roumanie, ils ont saisi et supprimé les sites web hébergeant les fichiers malveillants, empêchant ainsi les appareils infectés de recevoir des mises à jour. De ce fait, les criminels exploitant le réseau Sality n'ont plus pu communiquer avec les ordinateurs infectés, ces derniers étant désormais redirigés vers l'infrastructure sécurisée de CrowdStrike.

Dans le cadre de cette opération, la Fondation Shadowserver travaille avec les fournisseurs d'accès Internet et les équipes nationales de réponse aux cyberattaques (CSIRT) pour identifier toutes les victimes et les aider à nettoyer complètement leurs ordinateurs.