Uma operação internacional envolvendo agências de aplicação da lei, a CrowdStrike e a Shadowserver Foundation anunciou nesta semana a desarticulação do Sality, botnet de origem russa que infectou mais de 11 milhões de dispositivos ao longo de 23 anos de operação contínua. O anúncio foi feito nesta terça-feira, um dia após a derrubada técnica definitiva do malware, executada na segunda-feira.
Infraestrutura peer-to-peer como alvo
Diferente de botnets tradicionais que dependem de servidores centrais de comando, o Sality operava por meio de uma rede descentralizada, na qual máquinas contaminadas se comunicavam diretamente entre si. Essa arquitetura, criada justamente para evitar ações de repressão, acabou se tornando a própria fragilidade explorada pelos investigadores. A CrowdStrike, que desempenhou papel central na operação, trabalhou sobre a lista de pares (peer list) do Sality, manipulando o protocolo para que a rede descartasse permanentemente o acesso aos dispositivos infectados.
“Do ponto de vista do operador, as máquinas simplesmente desaparecem”, escreveu a CrowdStrike em postagem no blog oficial, reforçando que o controle do botnet foi completamente perdido pelos criminosos.
Ações coordenadas em vários países
Os domínios utilizados pelo Sality foram apreendidos por meio de esforço coordenado que envolveu o FBI, o Departamento de Justiça dos Estados Unidos, a Europol e autoridades da Bulgária, Hungria e Romênia. A Shadowserver Foundation atua em conjunto com provedores de internet para mapear dispositivos ainda comprometidos e orientar a limpeza das máquinas afetadas.
De acordo com a Europol, o trabalho de inteligência sobre o Sality remonta a 2017, com oitivas, análise de infraestrutura e troca de informações entre países. Bill Essayli, primeiro procurador-assistente dos Estados Unidos, classificou o caso como prioridade nacional.
“Criminosos cibernéticos, botnets e malwares representam perigo real e imediato para a segurança e a economia do nosso país”, afirmou Essayli em comunicado oficial.
Motivação financeira e ataques pontuais
Segundo a CrowdStrike, o operador do Sality era movido principalmente por ganhos financeiros, utilizando a rede para roubar criptomoedas e conduzir ataques contra vítimas nos Estados Unidos e em outros países. No entanto, a empresa também atribuiu ao menos três ataques de negação de serviço (DDoS) ao botnet, indicando uso eventual para fins pessoais ou políticos. As autoridades norte-americanas não divulgaram nomes de pessoas ou grupos suspeitos por trás da operação criminosa.
Sinal de alerta para arquiteturas descentralizadas
A desarticulação do Sality representa um marco técnico, pois redes peer-to-peer eram vistas, até então, como praticamente invulneráveis a operações de derrubada. A CrowdStrike destacou que o caso envia um recado direto a operadores de infraestruturas criminosas de longa duração.
“Operar durante décadas sem enfrentar consequências não significa operar sem riscos. A equação mudou. Nós vamos encontrar vocês, vamos desmontar sua infraestrutura e impor custos que tornem o empreendimento insustentável”, afirmou a empresa.
Com informações de: CyberScoop