Власти США и Европы нарушили работу ботнета Sality
Правоохранительные органы применили sinkhole-операцию против P2P-сети Sality, чтобы изолировать заражённые компьютеры от операторов ботнета и перекрыть доставку новых вредоносных модулей.
Министерство юстиции США сообщило о совместной операции против Sality — давно действующего ботнета на базе одноранговой сети. 31 августа власти США, Болгарии, Венгрии и Румынии при участии CrowdStrike и Shadowserver Foundation перенаправили работу P2P-инфраструктуры так, чтобы заражённые устройства теряли связь с операторами вредоносной сети.
Одновременно в США и Европе изъяли домены, связанные с Sality. В результате заражённые машины не должны получать указания на загрузку новых модулей и сами файлы вредоносной нагрузки. По оценке CrowdStrike, это делает ботнет неработоспособным.
Sality известен как минимум с 2003 года. Вредоносная программа заражает и изменяет исполняемые файлы Windows, а также способна распространять дополнительные инструменты для кражи учётных данных, рассылки спама, прокси-сервисов, сетевых атак и DDoS. Она распространялась через заражённые сетевые папки и USB-накопители, файлообменные сети, взломанные сайты и вложения в электронной почте.
В поздних версиях Sality использовалась P2P-сеть, позволявшая обходиться без централизованного управляющего сервера. Именно эта архитектура стала целью операции. Боты принимали новых участников сети без проверки подлинности, криптографической идентификации и списков доверенных узлов. Операторы операции воспользовались этим: они подменяли списки узлов, вытесняли из них заражённые публично доступные компьютеры и добавляли sinkhole-узлы.
Сначала изолировали так называемые super peers — доступные из интернета заражённые машины, составлявшие основу коммуникаций Sality. Устройства за межсетевыми экранами или NAT не могут принимать входящие соединения; когда они сами обращаются к sinkhole-узлам в ходе обычной проверки сети, их списки соседей очищаются, и такие машины также остаются изолированными.
CrowdStrike сообщала, что две несовместимые P2P-сети Sality — версии 3 и 4 — оставались активными до операции. Они использовали общий код и, по данным компании, управлялись одним оператором, но отличались протоколами и криптографическими ключами. Через ботнет вредоносные модули могли доставляться более чем на 15 000 заражённых компьютеров по всему миру.
Среди таких модулей был EggJagger — программа, которая отслеживает адреса криптокошельков в буфере обмена и незаметно заменяет их на адреса, контролируемые злоумышленниками. По приведённой оценке, с помощью этой схемы похищено не менее 150 000 долларов.