Инфраструктурата на ботнетот Sality демонтирана во глобална координирана акција

Меѓународни агенции за спроведување на законот и приватни партнери ја запленија инфраструктурата поврзана со малициозниот софтвер Sality во заедничка акција чија цел е нарушување на функционирањето и целосно отстранување на peer-to-peer (P2P) ботнетот.

Како дел од операцијата, Министерството за правда на САД (DOJ), FBI и DCIS запленија домени поврзани со Sality во Соединетите Американски Држави, додека партнерите за спроведување на законот во Бугарија, Унгарија и Романија запленија дополнителни домени поврзани со Sality, хостирани во Европа.

Тимот за Counter Adversary Operations на CrowdStrike, во соработка со меѓународните агенции за спроведување на законот и партнерите од приватниот сектор, исто така ги демонтираше каналите за контрола на ботнетот преку peer-to-peer sinkhole операција, со која заразените уреди беа изолирани.

Ботнетот Sality е активен повеќе од две децении и има заразено повеќе од 15.000 уреди со малициозен софтвер од најмалку 2003 година, кога за првпат се појавил. CrowdStrike наведува дека со Sality управува криминална група која компанијата ја следи под името SALTY SPIDER, а која најверојатно дејствува од Република Башкортостан во Русија.

„Компјутерите на жртвите заразени со Sality биле дел од peer-to-peer (P2P) ботнет, односно мрежа од компјутери (секој од нив е „бот“) заразени со малициозниот софтвер Sality и контролирани од операторот на Sality“, соопшти Министерството за правда на САД.

Според CrowdStrike, двете одделни мрежи на ботнетот Sality кои сè уште биле активни во моментот на акцијата оваа недела, главно биле користени за дистрибуција на малициозниот софтвер EggJagger преку напади со clipjacking.

„Во текот на својата историја, Sality дистрибуирал широк спектар на различни семејства на малициозен софтвер, наменети за кражба на кориснички податоци за најавување, дистрибуција на спам, обезбедување прокси-услуги, експлоатација на мрежи и извршување дистрибуирани напади за одбивање на услугата (DDoS)“, соопшти компанијата за сајбер-безбедност.

„Во последните осум години, примарниот payload бил EggJagger — алатка за clipjacking која ја следи clipboard-меморијата за адреси на криптовалутни паричници и незабележливо ги заменува со адреси контролирани од операторот.“

P2P ботнетот беше нарушен преку sinkholing на листата со познати „super peers“ на Sality, кои го сочинуваат столбот на неговата комуникациска инфраструктура. Со тоа беше оневозможено ширењето на file packs (директни преноси на payload-и) и URL packs (инструкции за преземање payload-и), а истовремено беа исчистени и листите со peer-уреди на заразените машини.

„По повеќе од две децении континуирано функционирање, CrowdStrike, заедно со меѓународните агенции за спроведување на законот и партнерите од индустријата, спроведе успешна операција за нарушување на ботнетот Sality, кој сега повеќе не е под контрола на неговите оператори“, додаде CrowdStrike.

Агенциите за спроведување на законот ширум светот демонтираа и повеќе други операции поврзани со сајбер-криминалот од почетокот на годината, како дел од меѓународни координирани акции.

Во март, американските и европските власти, заедно со приватни партнери, ја нарушија криминалната прокси-мрежа SocksEscort и ја урнаа Command and Control (C2) инфраструктурата користена од ботнетите Aisuru, KimWolf, JackSkid и Mossad.

Во мај, холандските власти ставија надвор од функција огромен ботнет со 17 милиони уреди, додека операција предводена од FBI ја наруши работата на хакерските платформи QScan и QTRouter, кои ги користеле кинески групи за сајбер-шпионажа.

Извори:

• Bleeping Computer – Sality botnet infrastructure dismantled in joint global takedown Bleeping Computer