Le autorità internazionali hanno annunciato una importante operazione di contrasto a Sality, una botnet peer to peer (P2P) attiva da molti anni e nota per la sua capacità di restare operativa anche quando vengono chiusi i server di comando e controllo tradizionali. L’intervento ha combinato azioni di law enforcement in più paesi con il supporto di partner del settore privato, puntando a spezzare la catena di distribuzione dei nuovi payload malware e a ridurre in modo significativo la pericolosità della rete infetta.
Sality è un malware per Windows documentato dal 2003, progettato per infettare e modificare file eseguibili. Questa caratteristica lo rende particolarmente insidioso perché può propagarsi agganciandosi ai programmi presenti sul disco, favorendo reinfezioni e diffusione autonoma tramite condivisioni di rete, dispositivi USB, siti compromessi, allegati email e canali di file sharing. Nel tempo la botnet è stata impiegata per molteplici attività criminali, tra cui furto di credenziali, invio di spam, servizi proxy, sfruttamento di reti e attacchi DDoS.
Tra i payload associati spicca EggJagger, un clipper che monitora gli appunti del sistema e sostituisce gli indirizzi dei wallet di criptovalute con quelli controllati dagli attaccanti, dirottando le transazioni. Questo tipo di clipjacking dimostra come una singola infezione possa trasformarsi rapidamente in una perdita economica, anche senza che la vittima se ne accorga.
Il cuore dell’operazione è stato un sinkhole P2P, cioè una tecnica che sfrutta la stessa architettura peer to peer di Sality per isolarne i nodi. Attraverso la manipolazione delle liste dei peer, i nodi infetti vengono progressivamente separati dal controllo degli attori malevoli e indirizzati verso infrastrutture di sinkhole. Poiché il protocollo P2P non prevede autenticazione robusta, un host che risponde correttamente al handshake può essere accettato come peer, rendendo possibile inserire nodi controllati dai difensori e svuotare le liste dei super peer che sostengono la comunicazione della botnet.
In parallelo sono stati sequestrati domini e URL utilizzati per ospitare i payload, impedendo ai sistemi infetti di scaricare nuovi componenti. Resta però un punto cruciale per la sicurezza informatica aziendale: il blocco dei nuovi payload non elimina il malware già presente. Le organizzazioni dovrebbero quindi cercare indicatori di compromissione nei log di rete e nella telemetria endpoint, identificare eventuale traffico sospetto e avviare la bonifica completa dei sistemi Windows coinvolti.