Un'operazione congiunta tra forze dell'ordine e partner privati ha inferto un duro colpo alla botnet Sality, una rete P2P attiva da oltre due decenni, utilizzata per la distribuzione di malware e attacchi informatici.
Un'imponente operazione internazionale, guidata dagli Stati Uniti e supportata da diverse nazioni europee e organizzazioni di sicurezza, ha portato a una significativa interruzione delle attività della botnet Sality. Questa rete malevola, che si stima operasse da oltre vent'anni, è stata colpita da un'azione coordinata volta a smantellare la sua infrastruttura decentralizzata.
L'operazione, avvenuta il 31 agosto, ha visto la collaborazione di autorità giudiziarie e forze dell'ordine di Bulgaria, Ungheria, Romania e Stati Uniti, con il prezioso supporto di Europol e di partner del settore privato come CrowdStrike e la Shadowserver Foundation. L'obiettivo primario è stato quello di "sinkholing", ovvero reindirizzare le comunicazioni delle macchine infette lontano dall'infrastruttura della botnet, rendendola inefficace.
La botnet Sality si caratterizza per la sua architettura peer-to-peer (P2P). A differenza delle botnet tradizionali che si basano su un server centrale di comando e controllo (C2), le reti P2P consentono alle macchine infette di comunicare direttamente tra loro in modo decentralizzato. Questa struttura rende l'infrastruttura intrinsecamente più resiliente e difficile da neutralizzare, poiché non esiste un singolo punto di fallimento da colpire.
Europol ha sottolineato come questa operazione sia stata il culmine di anni di sforzi. L'agenzia di polizia europea supportava attivamente gli sforzi per identificare e smantellare l'infrastruttura legata a Sality a livello globale sin dal 2017. Nelle settimane precedenti l'azione principale, la cooperazione si è intensificata con incontri operativi settimanali per coordinare le azioni tra le diverse giurisdizioni.
Le autorità statunitensi ed europee si sono concentrate sul sequestro dei domini associati a Sality. Parallelamente, la Shadowserver Foundation ha collaborato con i Provider di Servizi Internet (ISP) e i Computer Security Incident Response Team (CSIRT) per identificare le infezioni, notificare le vittime e fornire assistenza per la bonifica dei sistemi compromessi. Il Dipartimento di Giustizia degli Stati Uniti ha confermato il successo di queste attività.
Secondo le stime, Sality ha operato per oltre due decenni, raggiungendo il picco di oltre un milione di macchine infette. Queste macchine venivano sfruttate per distribuire payload malevoli finalizzati a furti di criptovalute e altre attività criminali. Nel corso degli anni, sono stati collegati all'infrastruttura di Sality oltre 11 milioni di indirizzi IP unici.
CrowdStrike ha evidenziato come la botnet permettesse ai suoi operatori di distribuire malware a più di 15.000 macchine infette, abilitando attività quali il furto di credenziali, la distribuzione di spam, l'offerta di servizi proxy, lo sfruttamento di vulnerabilità di rete e attacchi Distributed Denial of Service (DDoS).
L'operazione ha sfruttato un'intrinseca debolezza del funzionamento di Sality: la tendenza delle macchine infette a fidarsi delle altre macchine presenti nella rete senza un'adeguata verifica. Ogni bot di Sality mantiene una lista di "super peer", ovvero macchine infette raggiungibili pubblicamente che costituiscono la spina dorsale della rete P2P. Ogni 40 minuti, un bot verifica se i suoi super peer sono ancora online. I peer che rispondono positivamente accumulano reputazione, mentre quelli che non rispondono vengono gradualmente rimossi dalla lista.
L'operazione di interruzione ha sfruttato questo meccanismo manipolando a livello di protocollo la verifica dei peer. In questo modo, è stato possibile rimuovere i peer legittimi e inserire nel contempo delle voci di sinkhole nelle liste svuotate. Questo ha permesso non solo di interrompere la comunicazione, ma anche di tracciare i progressi dell'operazione e notificare le vittime identificate.
La neutralizzazione di una botnet così longeva e diffusa rappresenta un successo significativo nella lotta contro il crimine informatico, dimostrando l'efficacia della cooperazione internazionale e della collaborazione tra settore pubblico e privato nel contrastare minacce persistenti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
