Operação internacional trava botnet Sality ativa há 20 anos

Uma operação internacional apoiada pela Europol interrompeu a botnet Sality, uma infraestrutura de cibercrime utilizada durante mais de duas décadas para distribuir conteúdos maliciosos através de computadores infetados em todo o mundo.

A operação, realizada a 31 de agosto e liderada pelas autoridades dos EUA, envolveu organismos da Bulgária, Hungria, Roménia e Estados Unidos, contando ainda com o apoio da Europol e dos parceiros privados CrowdStrike e Shadowserver Foundation.

No seu pico de atividade, a Sality terá permitido ao seu operador controlar até um milhão de equipamentos infetados em todo o mundo. Segundo a Europol, mais de 11 milhões de endereços IP únicos foram associados à infraestrutura ao longo da sua atividade.

Para interromper a Sality, os participantes realizaram uma operação de sinkholing peer-to-peer (P2P), redirecionando as comunicações provenientes dos equipamentos comprometidos para fora da infraestrutura criminosa.

A medida permitiu isolar os dispositivos infetados da restante botnet e tornar inoperacional o canal utilizado pelo operador para os controlar.

A arquitetura P2P tornou a Sality particularmente difícil de combater. Ao contrário de botnets dependentes de servidores centrais de comando e controlo, estas redes permitem que os equipamentos comprometidos comuniquem diretamente entre si.

Esta descentralização aumenta a resiliência da infraestrutura, uma vez que a interrupção de uma parte da rede não implica necessariamente a queda dos restantes componentes.

Cooperação decorre há vários anos

A operação é resultado de vários anos de cooperação internacional. Desde 2017, a Europol tem apoiado autoridades de diferentes países na identificação e interrupção de infraestruturas associadas à Sality à medida que estas eram descobertas em diferentes jurisdições.

Nas semanas que antecederam a intervenção de 31 de agosto, a coordenação foi intensificada através de reuniões operacionais semanais entre os participantes.

O European Cybercrime Centre (EC3) da Europol apoiou a partilha e análise de informação sobre as atividades da botnet. Em conjunto com a Joint Cybercrime Action Taskforce, coordenou também reuniões entre as entidades envolvidas para estabelecer uma estratégia comum.

A CrowdStrike e a Shadowserver Foundation forneceram conhecimento técnico e análise da infraestrutura através do Cyber Intelligence Extension Programme da Europol.

Além da Europol e Eurojust, participaram na operação autoridades policiais da Bulgária, Hungria e Roménia, bem como o Departamento de Justiça, o FBI e o Defense Criminal Investigative Service dos Estados Unidos.