Sality smantellata dopo 23 anni: il takedown globale spezza la botnet P2P

🛡️ Executive Summary

• Una coalizione internazionale ha neutralizzato Sality, botnet P2P attiva dal 2003 e ancora capace di distribuire payload su oltre 15.000 dispositivi.
• CrowdStrike ha manipolato le peer list dei bot, eliminando i super peer legittimi e inserendo sinkhole controllati per isolare progressivamente le infezioni.
• DOJ, FBI, DCIS e autorità europee hanno sequestrato domini e URL, mentre Shadowserver supporta ISP e CSIRT nell’identificazione e bonifica delle vittime.

Dopo oltre 23 anni di attività, la botnet Sality è stata neutralizzata attraverso un’operazione internazionale che ha combinato sequestri di infrastruttura, manipolazione del protocollo peer-to-peer e sinkholing dei sistemi infetti. L’intervento è stato eseguito il 31 agosto 2026 da CrowdStrike insieme a DOJ, FBI, Defense Criminal Investigative Service, Shadowserver Foundation, Europol, Eurojust e autorità di Bulgaria, Ungheria e Romania. Sality era comparsa nel 2003 e aveva continuato a funzionare grazie a un’architettura decentralizzata particolarmente resistente ai normali takedown. Al momento dell’operazione erano ancora attive due reti P2P indipendenti e più di 15.000 sistemi compromessi potevano ricevere nuovi payload dagli operatori.

Sality sopravvive per oltre vent’anni grazie a una rete senza un C2 centrale

Sality nasce come file infector polimorfico e nel corso degli anni evolve in una struttura P2P nella quale i computer infetti comunicano direttamente tra loro invece di affidarsi a un normale server di comando e controllo. È questa caratteristica a renderla eccezionalmente longeva. Secondo l’analisi tecnica pubblicata da CrowdStrike dopo l’operazione, fino al takedown erano ancora operative due reti separate, identificate come versione 3 e versione 4, basate sullo stesso codice ma incompatibili tra loro perché utilizzavano differenti versioni del protocollo e chiavi crittografiche diverse. Ogni nodo infetto manteneva una lista di super peer, macchine pubblicamente raggiungibili utilizzate come dorsale della rete. L’assenza di un C2 centrale eliminava il classico punto singolo di fallimento: sequestrare un server non avrebbe fermato Sality perché i bot continuavano a scambiarsi informazioni e istruzioni. A questa resilienza si aggiungeva il meccanismo di propagazione del malware, capace di infettare file eseguibili presenti sui sistemi e diffondersi attraverso condivisioni di rete, supporti rimovibili e file scambiati tra utenti. L’operatore non aveva quindi bisogno di mantenere campagne di phishing continue per ricostruire la rete. La botnet poteva rigenerare una parte delle infezioni attraverso il proprio comportamento originario, un modello molto diverso dalle infrastrutture più recenti basate su loader centralizzati.

CrowdStrike sfrutta contro Sality la stessa logica che la rendeva resistente

La disruption non è stata costruita cercando di rimuovere singolarmente ogni macchina compromessa. CrowdStrike ha attaccato direttamente la peer list che ogni bot utilizza per mantenere la propria visione della rete. Sality controllava periodicamente la raggiungibilità dei super peer memorizzati: ogni circa 40 minuti i nodi verificavano quali peer fossero ancora online, aumentando la reputazione di quelli responsivi ed eliminando progressivamente quelli che non rispondevano. Gli operatori della disruption hanno sfruttato proprio questo meccanismo.

Attraverso manipolazioni a livello di protocollo hanno invalidato i super peer autentici presenti nelle liste dei bot e inserito al loro posto indirizzi appartenenti a sinkhole controllati. Il risultato è una degradazione progressiva della rete: i dispositivi compromessi perdono i punti attraverso cui ricevere le istruzioni dell’operatore e vengono gradualmente confinati verso infrastrutture controllate dai difensori. Una tecnica concettualmente simile era già stata utilizzata nelle operazioni contro GameOver Zeus nel 2014 e Kelihos nel 2017, ma adattata al comportamento specifico del protocollo Sality. Il precedente takedown della botnet Glassworm condotto da CrowdStrike insieme a Google e Shadowserver aveva già mostrato come le operazioni moderne contro infrastrutture decentralizzate richiedano interventi coordinati su più livelli invece della semplice rimozione di un server.

Leggi anche: Operation Endgame colpisce SocGholish e rimuove il malware da quasi 15.000 siti WordPress

I bot smettono di ricevere URL pack e file pack dagli operatori

L’effetto operativo della manipolazione è particolarmente importante perché Sality utilizzava due modalità per distribuire nuovi payload: URL pack, contenenti indirizzi da cui scaricare file malevoli, e file pack, con payload trasferiti direttamente attraverso la rete P2P. Una volta rimossi i super peer legittimi dalla lista dei sistemi infetti, entrambe le forme di distribuzione vengono interrotte. I dispositivi che si trovano dietro firewall o NAT, e che quindi non possono essere contattati direttamente dai sinkhole, vengono neutralizzati più lentamente: quando eseguono autonomamente il ciclo di manutenzione e raggiungono uno dei nodi controllati dai difensori, la loro peer list viene progressivamente ripulita. Dal punto di vista dell’operatore criminale, le macchine semplicemente scompaiono dalla rete.

CrowdStrike sottolinea inoltre un limite strutturale particolarmente interessante: il protocollo Sality non può essere facilmente aggiornato per correggere la debolezza usata durante il takedown. Essendo un file infector distribuito e non un malware controllato da un server centrale capace di inviare nuove versioni, un tentativo di sostituire globalmente il protocollo creerebbe una seconda variante in competizione con quella esistente anziché aggiornare uniformemente tutti i bot. La stessa architettura che aveva permesso alla rete di resistere per due decenni è diventata quindi il principale ostacolo alla sua ricostruzione.

EggJagger trasformava gli appunti di Windows in uno strumento per rubare criptovalute

Sality non possedeva una vasta serie di funzionalità offensive proprie: il suo valore consisteva soprattutto nella capacità di distribuire altri malware. Nel corso della sua storia è stata utilizzata per credential stealing, spam, servizi proxy, attività di network exploitation e attacchi DDoS. Negli ultimi otto anni, tuttavia, il payload principale osservato da CrowdStrike era EggJagger, uno strumento di clipjacking progettato per sorvegliare gli indirizzi delle criptovalute copiati negli appunti. Quando la vittima copiava un indirizzo Bitcoin o Ethereum per effettuare una transazione, EggJagger lo sostituiva silenziosamente con un wallet controllato dall’attaccante. CrowdStrike attribuisce alla tecnica almeno 12,1 milioni di rubli, circa 150.000 dollari al valore delle transazioni al momento del furto, anche se il portafoglio accumulato avrebbe raggiunto un valore nominale significativamente maggiore durante i picchi del mercato. Si tratta inoltre della sola monetizzazione associata a EggJagger: i numerosi malware distribuiti in precedenza potrebbero aver prodotto ricavi ulteriori non inclusi nella stima. Sality è stata impiegata anche in episodi DDoS più occasionali, compreso un attacco del 25 febbraio 2022 contro un forum ucraino nel quale venivano discusse in tempo reale le operazioni militari russe a Kharkiv. CrowdStrike attribuisce la botnet a un attore seguito con il nome SALTY SPIDER, ritenuto probabilmente operativo dalla Repubblica di Bashkortostan, in Russia.

Stati Uniti ed Europa sequestrano domini e interrompono i server di distribuzione

Il sinkholing P2P è stato accompagnato da un secondo livello di intervento contro l’infrastruttura web. Il Department of Justice statunitense ha annunciato il sequestro di domini Sality negli Stati Uniti da parte di DOJ, FBI e DCIS, mentre le autorità di Bulgaria, Ungheria e Romania hanno agito contro ulteriori domini ospitati in Europa. Sono stati inoltre disattivati gli URL utilizzati dai bot per recuperare payload attraverso gli URL pack, impedendo che sistemi ancora temporaneamente collegati alla vecchia rete potessero scaricare nuovi componenti durante la fase di transizione. Europol ed Eurojust hanno sostenuto il coordinamento internazionale, mentre la Shadowserver Foundation sta lavorando con provider Internet e CSIRT per individuare le macchine ancora infette e notificare le vittime. L’approccio riflette una strategia ormai consolidata nelle grandi operazioni internazionali contro il cybercrime: anziché puntare esclusivamente all’arresto immediato dell’operatore, si cerca di degradare contemporaneamente il protocollo, i domini, i server di distribuzione e l’accessibilità delle vittime. La stessa logica è stata adottata nelle operazioni recenti contro reti residential proxy usate per nascondere attività criminali dietro migliaia di connessioni domestiche.

Continua con:

• AryStinger trasforma oltre 4.300 router legacy in una rete globale di proxy
• Evooo1Bot usa router compromessi come proxy SOCKS5 e nodi per attacchi DDoS

I sinkhole permettono ora di identificare le infezioni rimaste

La neutralizzazione della rete non equivale automaticamente alla rimozione del malware dai computer compromessi. Le macchine infette possono continuare a contenere Sality anche dopo aver perso il collegamento con l’operatore, e proprio per questo CrowdStrike ha pubblicato indicatori specifici per aiutare le organizzazioni a individuarle. I bot neutralizzati effettuano ora beacon verso un sinkhole controllato da CrowdStrike all’indirizzo 188.166.101[.]148: la presenza di traffico UDP diretto verso questo indirizzo costituisce un indicatore di infezione da investigare. Sono stati pubblicati anche gli ultimi URL pack distribuiti dalle reti v3 e v4 e regole YARA capaci di individuare in memoria le chiavi pubbliche RSA incorporate nel malware. La bonifica deve quindi andare oltre il semplice blocco di rete: un endpoint positivo richiede isolamento, verifica degli eseguibili infettati, ricerca degli eventuali payload secondari e valutazione delle credenziali o dei wallet che potrebbero essere stati esposti. Il takedown di Sality è particolarmente significativo proprio perché dimostra che l’età di una minaccia non coincide con la sua irrilevanza. Una botnet progettata nel 2003 è riuscita a sopravvivere fino al 2026 sfruttando decentralizzazione, propagazione autonoma e costi operativi estremamente bassi. A spezzarla non è stato un singolo exploit né il sequestro di un server, ma la capacità di comprendere abbastanza profondamente il suo protocollo da trasformare il meccanismo di manutenzione della rete in uno strumento di isolamento. È la stessa resilienza che per vent’anni aveva protetto Sality ad aver fornito, alla fine, il punto tecnico necessario per toglierne il controllo agli operatori.