Fin août, une opération conjointe d’envergure a mis un terme à plus de 20 ans d’activité du botnet Sality. Menée par l’équipe Counter Adversary Operations de CrowdStrike en collaboration avec le FBI, le département de la Justice des États-Unis et Europol, cette action a permis de neutraliser une infrastructure cybercriminelle qui a infecté des appareils à travers le monde.
Comment un botnet aussi ancien a-t-il pu survivre si longtemps ?
Apparu en 2003, Sality devait sa longévité exceptionnelle à deux facteurs clés. D’une part, son architecture peer-to-peer (P2P) le rendait extrêmement résilient. Contrairement aux botnets classiques qui dépendent de serveurs de commande et de contrôle centralisés, Sality n’avait aucun point de défaillance unique. Les machines infectées communiquaient directement entre elles.
D’autre part, Sality était un infecteur de fichiers polymorphe. Il se propageait en s’attachant à des fichiers exécutables sur les systèmes compromis, se diffusant ensuite via des partages réseau ou des supports amovibles. Cette méthode de propagation continue régénérait constamment les infections sans nécessiter d’effort actif de la part de l’opérateur, comme des campagnes de phishing.
Quelles étaient les activités criminelles de Sality ?
Principalement motivé par le gain financier, Sality distribuait divers malwares pour le vol d’identifiants, l’envoi de spam ou des attaques par déni de service.
Au cours des huit dernières années, sa charge utile principale était EggJagger pour le vol de cryptomonnaies. Cet outil surveillait le presse-papiers des victimes et remplaçait discrètement les adresses de portefeuilles Bitcoin ou Ethereum par celles de l’opérateur. Grâce à cette technique, CrowdStrike estime que l’opérateur a volé au minimum 150 000 dollars.
Le botnet a aussi été utilisé pour des attaques DDoS ciblées, notamment contre un forum ukrainien au lendemain de l’invasion russe en 2022, suggérant des motivations patriotiques ou personnelles de l’opérateur, suspecté d’œuvrer depuis la Russie.
Comment l’opération de démantèlement a-t-elle fonctionné ?
L’opération de démantèlement a exploité les faiblesses inhérentes au protocole P2P de Sality. Les experts en cybersécurité ont mis en place une opération de sinkholing P2P, décrite comme » la prise de contrôle de botnet la plus complexe jamais réalisée « .
L’équipe a réussi à manipuler les listes des super-peers qui sont les nœuds principaux du réseau. En injectant de fausses informations dans ces listes, les chercheurs ont progressivement isolé les machines infectées du reste du réseau, les empêchant de recevoir de nouvelles instructions ou charges utiles.
Les machines se sont alors connectées à des serveurs contrôlés par les défenseurs. En parallèle, les autorités ont saisi les noms de domaine utilisés pour héberger les malwares.