Ботнет Sality нейтрализован после 23 лет работы: 15 000 машин отключены от операторов из Башкортостана
Власти США и Европы при участии CrowdStrike и Shadowserver нейтрализовали ботнет Sality, действовавший с 2003 года, отключив более 15 000 заражённых машин от операторов из Башкортостана. Децентрализованную одноранговую сеть нарушили через внедрение ложных данных в списки «супер-узлов». По оценкам экспертов, вредонос EggJagger, распространявшийся через ботнет, похитил минимум 150 000 долларов в криптовалюте.
Американские и европейские правоохранительные органы при участии специализирующейся на кибербезопасности компании CrowdStrike и некоммерческого фонда Shadowserver объявили об обезвреживании ботнета Sality, действовавшего как минимум с 2003 года. Как сообщает издание The Record со ссылкой на компанию CrowdStrike, операция была проведена в понедельник, а Минюст США объявил о ней во вторник.
В отличие от ботнетов с центральным сервером управления, Sality использовал одноранговую архитектуру, что делало его устойчивым к классическому «схлопыванию» (sinkhole). Для нейтрализации сети исследователям CrowdStrike потребовалась масштабная обратная разработка (reverse-engineering). Как сообщили в компании, целью стали списки «супер-узлов» (super peers), которые заражённые машины используют для поддержания связи друг с другом. Путём внедрения ложной информации в эти списки специалистам удалось разорвать соединение между более чем 15 000 заражённых систем и операторами ботнета, изолировав компьютеры и лишив их возможности получать команды или новые вредоносные нагрузки.
Помимо этого, как отмечается в сообщении, власти приняли меры против внешней инфраструктуры: в США захвачены домены, связанные с Sality, а власти Болгарии, Венгрии и Румынии конфисковали дополнительные европейские домены, которые могли использоваться для распространения вредоносного ПО.
Первоначально появившись в 2003 году как вирус, заражающий исполняемые файлы, Sality впоследствии эволюционировал в одноранговый ботнет (прим. ред.: сеть заражённых компьютеров, в которой нет единого центрального сервера управления). По данным CrowdStrike, в последние восемь лет основным распространяемым через него вредоносным ПО был EggJagger — программа для мониторинга буфера обмена с целью подмены адресов криптовалютных кошельков. Как подсчитали в компании, с помощью этой техники оператор похитил как минимум 150 000 долларов в криптовалюте, при этом отмечается, что другие вредоносные нагрузки могли приносить дополнительные доходы.
Фонд Shadowserver, как сообщили в организации, взаимодействует с интернет-провайдерами и национальными группами реагирования на инциденты для уведомления владельцев более 15 000 заражённых систем, всё ещё подключённых к Sality на момент обезвреживания.
Оператор ботнета публично не идентифицирован, в CrowdStrike полагают, что группировка действует из Башкортостана в России. Аресты не проводились, и остаётся неясным, предпримет ли оператор попытки восстановить сеть.
Читайте также
