El Departamento de Justicia ha confirmado el desmantelamiento coordinado a nivel internacional de la botnet Sality, una red de malware peer-to-peer activa desde 2003. En una operación conjunta entre Estados Unidos, Bulgaria, Hungría y Rumanía, autoridades federales y empresas de ciberseguridad lograron neutralizar la infraestructura utilizada para ejecutar ciberataques y robos de criptomonedas.

El Departamento de Justicia ha confirmado un desmantelamiento internacional coordinado de la botnet Sality, una red de malware peer-to-peer que ha azotado a víctimas de todo el mundo desde 2003.

La operación abarcó Estados Unidos, Bulgaria, Hungría y Rumania, reuniendo a las fuerzas del orden federales y a empresas de ciberseguridad del sector privado para desmantelar una infraestructura que, silenciosamente, había impulsado el robo de criptomonedas y ciberataques durante más de dos décadas.

FBI y CrowdStrike desmantelan la botnet Sality después de 20 años

La clave de la interrupción, según confirmó el anuncio del Departamento de Justicia de EE. UU., fue la estrecha cooperación entre el DOJ, el FBI, el Servicio de Investigación Criminal de Defensa (DCIS) del Departamento de Defensa y los socios de la industria privada CrowdStrike y la Fundación Shadowserver.

Los funcionarios presentaron el esfuerzo como un ejemplo temprano del primer pilar de la Estrategia Cibernética para Estados Unidos de la administración Trump, que insta a las agencias a "moldear el comportamiento del adversario" trabajando junto a empresas privadas para degradar las herramientas e infraestructura criminales, en lugar de limitarse únicamente a la aplicación de la ley.

El Primer Fiscal Adjunto de los Estados Unidos, Bill Essayli, afirmó que el desmantelamiento demuestra que "los sectores público y privado pueden ser una fuerza poderosa para el bien" contra las botnets y el malware, que calificó como "un peligro claro y presente para la seguridad y la economía de nuestra nación".

El Director Adjunto a Cargo del FBI en Los Ángeles, Patrick Grandy, añadió que la colaboración fortalece la capacidad del Buró para neutralizar amenazas como Sality, mientras que el Agente Especial a Cargo del DCIS, Kenneth DeChellis, enfatizó la importancia de la operación para proteger la Red de Información del Departamento de Defensa.

A diferencia de las botnets que dependen de servidores de comando y control centralizados, Sality funcionaba como una red peer-to-peer descentralizada, lo que permitía que las máquinas infectadas, o "bots", se comunicaran directamente entre sí y transmitieran comandos sin un único punto de fallo.

Esta arquitectura hizo que el malware fuera notablemente resistente a los intentos de desmantelamiento a lo largo de los años. La mayoría de los propietarios de dispositivos comprometidos no tenían idea de que sus sistemas habían sido secuestrados e integrados en las operaciones de la botnet.

La interrupción se llevó a cabo esta semana cuando el equipo de Operaciones Contra Adversarios de CrowdStrike ejecutó un sinkhole peer-to-peer, redirigiendo eficazmente el tráfico de la botnet fuera del control criminal.

Simultáneamente, el DOJ, el FBI y el DCIS incautaron dominios vinculados a Sality dentro de los Estados Unidos, mientras que las agencias policiales de Bulgaria, Hungría y Rumania actuaron contra dominios relacionados alojados en Europa.

La Fundación Shadowserver está trabajando ahora con proveedores de servicios de internet y equipos nacionales de respuesta a incidentes de seguridad informática para identificar las infecciones restantes y apoyar la notificación y remediación de las víctimas.

El caso contó con el apoyo de la Dirección General de Lucha contra el Crimen Organizado de Bulgaria, el Departamento de Delitos Cibernéticos de la Oficina Nacional de Investigación de Hungría, la Unidad Central de Delitos Cibernéticos de Rumania, Eurojust y Europol, junto con la Oficina de Asuntos Internacionales del DOJ.

La Fiscal Adjunta de los Estados Unidos, Lauren Restrepo, de la División de Seguridad Nacional, lideró los esfuerzos de procesamiento junto con la oficina de campo del FBI en Los Ángeles y el DCIS.

Con más de 15,000 sistemas presuntamente infectados en el momento del desmantelamiento, la operación marca una de las acciones más significativas contra una botnet P2P de larga duración en los últimos años, y señala la creciente voluntad de las agencias federales de apoyarse en la inteligencia de amenazas del sector privado para desmantelar infraestructuras de cibercrimen persistentes.