Come è stata smantellata la botnet Sality dopo due decenni?

Nel corso di una vasta operazione internazionale delle forze dell'ordine, la rete di hacker Sality, una delle botnet peer-to-peer (P2P) più antiche e persistenti al mondo, è stata finalmente smantellata dopo quasi un quarto di secolo. Individuato per la prima volta dagli esperti nel 2003, il sistema malevolo è stato utilizzato nel corso degli anni per diffondere diverse forme di malware, tra cui strumenti per il furto di dati, servizi proxy e software per effettuare attacchi denial-of-service.

Negli ultimi otto anni, la rete è stata utilizzata principalmente per diffondere lo strumento EggJagger, un codice specializzato per la sostituzione del contenuto degli appunti che si stima abbia fruttato agli aggressori almeno 132.800 euro in criptovalute bitcoin ed ethereum.

La chiave dell'incredibile longevità di Sality risiedeva nella sua architettura. Si diffondeva come un classico virus informatico, attaccandosi ai file eseguibili su dischi rigidi e supporti rimovibili. Poiché non si affidava a un singolo server centrale per aggiornare il suo codice, era estremamente difficile disattivarlo completamente.

Ironicamente, proprio il protocollo che aveva permesso alla rete di sopravvivere per oltre 20 anni è diventato anche il suo punto debole. La rete si fidava ciecamente di tutti i computer connessi, senza verificarne l'identità né richiedere alcuna autenticazione. I dispositivi infetti, o bot, controllavano regolarmente la raggiungibilità degli altri dispositivi presenti nella loro lista di cosiddetti superlink, che costituivano la spina dorsale della rete P2P. I computer raggiungibili acquisivano gradualmente fiducia, mentre quelli irraggiungibili venivano infine rimossi dalla lista.

Questo specifico comportamento è stato sfruttato dagli esperti di CrowdStrike. Utilizzando la manipolazione a livello di protocollo, hanno gradualmente rimosso le voci legittime dei superlink dagli elenchi, isolando i computer infetti. Allo stesso tempo, hanno reindirizzato il traffico del sistema verso i propri server fasulli, o server sinkhole.

Grazie a un'azione coordinata con le forze dell'ordine di Stati Uniti, Bulgaria, Ungheria e Romania, sono stati sequestrati e rimossi i siti web che ospitavano i file dannosi, impedendo così ai dispositivi infetti di ricevere ulteriori aggiornamenti. In questo modo, i criminali che gestivano la rete Sality sono stati di fatto bloccati e non sono più riusciti a comunicare con i computer infetti, poiché i dispositivi sono stati reindirizzati all'infrastruttura sicura di CrowdStrike.

Nell'ambito dell'operazione, la Shadowserver Foundation sta collaborando con i fornitori di servizi Internet e i team nazionali di risposta alla sicurezza informatica (CSIRT) per identificare tutte le vittime e assisterle nella completa bonifica dei loro computer.