Una operación internacional logró interrumpir el funcionamiento de Sality, una de las redes de computadoras infectadas más antiguas y resistentes de internet, activa desde 2003. La operación, ejecutada el 31 de agosto, involucró a autoridades de Estados Unidos, Bulgaria, Hungría y Rumania, con apoyo de Europol, Eurojust, CrowdStrike y Shadowserver Foundation.
Sality funcionaba como una botnet de tipo peer-to-peer (P2P). A diferencia de muchas redes maliciosas que dependen de un servidor central, las computadoras infectadas podían comunicarse directamente entre sí. Esta característica permitió que la infraestructura sobreviviera durante más de dos décadas y dificultó numerosos intentos de desmantelamiento.
Según CrowdStrike, la red llegó a estar vinculada con más de 11 millones de direcciones IP únicas durante su historia y, en determinados momentos, habría proporcionado al operador acceso a hasta un millón de equipos infectados. En la actualidad se habían identificado más de 15.000 sistemas comprometidos que seguían formando parte de la infraestructura activa.
La clave de la operación fue precisamente utilizar contra Sality la característica que durante años la había protegido. Los investigadores estudiaron su protocolo P2P y manipularon las listas de pares para introducir infraestructura controlada por los investigadores. Mediante una operación conocida como sinkholing, lograron aislar las computadoras infectadas y cortar la comunicación entre ellas y el operador criminal.
Una vez aislados, los equipos infectados dejaron de recibir nuevas instrucciones y cargas maliciosas. Las autoridades también intervinieron dominios vinculados con la infraestructura de Sality en Estados Unidos y Europa.
El malware fue utilizado a lo largo de los años para diferentes actividades criminales, entre ellas robo de credenciales, distribución de spam, servicios de proxy, ataques DDoS y robo de criptomonedas. Durante sus últimos años, una de sus principales herramientas, denominada EggJagger, modificaba las direcciones de billeteras de criptomonedas copiadas al portapapeles para redirigir los pagos hacia cuentas controladas por los delincuentes.
Aunque la operación ha dejado inoperativo el canal de control de la botnet, los expertos advierten que los equipos que continúan infectados no han sido limpiados automáticamente. La eliminación del control criminal, por tanto, no equivale a que todos los dispositivos afectados hayan dejado de estar comprometidos.
El caso representa un precedente relevante en ciberseguridad: una arquitectura diseñada para hacer prácticamente indestructible una red criminal terminó convirtiéndose en el punto débil que permitió desmantelarla.
