La empresa de seguridad Crowdstrike y varios organismos policiales nacionales e internacionales han interrumpido Sality, un botnet peer-to-peer que operó durante más de dos décadas.
Sality apareció por primera vez en 2003 y contaba con unos 15.000 endpoints. A diferencia de los botnets clásicos, que reciben instrucciones y envían información a una única entidad central, sus endpoints se comunicaban entre sí, lo que dificultaba su rastreo y eliminación.
A lo largo de su historia, Sality distribuyó cargas adicionales de malware que facilitaban el robo de credenciales, el spam, los servicios proxy y los ataques de denegación de servicio distribuido (DDoS). Desde 2018, se utilizó principalmente para desplegar EggJagger, una herramienta que secuestra el portapapeles y se observó en robos de criptomonedas.
EggJagger vigilaba el texto copiado que parecía una dirección de cartera de criptomonedas y lo reemplazaba por una dirección controlada por el atacante. Crowdstrike afirmó que los operadores de Sality obtuvieron más de 150.000 dólares solo con este malware.
Los investigadores interrumpieron el botnet mediante un sinkhole de los endpoints. Añadieron sus propios dispositivos a la red y, cuando otros endpoints intentaban comunicarse con ellos, eliminaron sus listas de pares para dejarlos prácticamente aislados. Crowdstrike también coordinó la retirada de las URL que alojaban las cargas de Sality.
En la operación participaron el US Department of Justice (DOJ), el Federal Bureau of Investigation (FBI), el Department of Defense Office of Inspector General’s Defense Criminal Investigative Service (DCIS) y la Shadowserver Foundation, con apoyo de Europol, Eurojust y organismos policiales de Bulgaria, Hungría y Rumanía.
Comentarios
0Aún no hay comentarios. Escribe el primero.