Sality僵尸网络在运行二十年后是如何被关闭的？

在一次重大的国际执法行动中，全球历史最悠久、持续时间最长的点对点（P2P）僵尸网络之一——Sality黑客网络，在持续运行近四分之一世纪后终于被摧毁。该恶意系统最早于2003年被专家发现，多年来一直被用于传播各种恶意软件，包括数据窃取工具、代理服务和用于实施拒绝服务攻击的软件。

在过去的八年里，该网络主要用于传播 EggJagger 工具，这是一种专门的剪贴板替换代码，据估计，该工具已为攻击者带来了至少 132,800 欧元的比特币和以太坊加密货币。

Sality之所以能持续如此之久，关键在于其架构。它像经典的病毒文件感染程序一样传播，将自身附着在硬盘和移动存储介质上的可执行文件上。由于它不依赖单一的中央命令服务器来更新代码，因此极难被彻底禁用。

讽刺的是，正是这项使网络得以运行20多年的协议，最终也成了它最大的弱点。该网络盲目信任所有连接的计算机，既不验证它们的身份，也不要求任何身份验证。受感染的设备，也就是所谓的“僵尸网络”，会定期检查其所谓的“超级链接”列表中其他设备的连通性，这些超级链接构成了P2P网络的骨干。能够连通的计算机逐渐获得信任，而无法连通的计算机最终会被从列表中移除。

CrowdStrike 的专家利用了这种特定行为。他们通过协议级操控，逐步从列表中移除合法的超链接条目，从而隔离受感染的计算机。与此同时，他们将系统中的流量重定向到他们自己的虚假服务器，也就是所谓的“黑洞服务器”。

他们与美国、保加利亚、匈牙利和罗马尼亚的执法机构协同合作，查封并移除了托管恶意文件的网站，阻止了受感染设备接收任何进一步的更新。这有效地阻止了运营 Sality 网络的犯罪分子与受感染的计算机通信，因为这些设备现在被重定向到 CrowdStrike 的安全基础设施。

作为此次行动的一部分，Shadowserver 基金会正与互联网服务提供商和国家网络安全响应小组 (CSIRT) 合作，以识别所有受害者并协助彻底清理他们的计算机。