Pocas infraestructuras utilizadas por los ciberdelincuentes pueden presumir de haber sobrevivido durante más de dos décadas. Sality era una de ellas. Detectada por primera vez en 2003, cuando buena parte del malware todavía se propagaba mediante archivos infectados, unidades USB y redes de intercambio de archivos, la amenaza consiguió evolucionar y mantenerse activa durante 23 años.
El 31 de agosto, una operación internacional liderada por las autoridades estadounidenses y en la que participaron CrowdStrike y Shadowserver Foundation, junto con organismos policiales de Bulgaria, Hungría y Rumanía y el apoyo de Europol y Eurojust, consiguió interrumpir finalmente su funcionamiento.
Pero probablemente lo más interesante de la operación no sea su longevidad, sino cómo se consiguió neutralizarla. Los investigadores terminaron utilizando contra Sality uno de los elementos que había contribuido precisamente a mantenerla viva durante tantos años: su arquitectura peer-to-peer (P2P).
De virus informático a infraestructura criminal
Sality apareció inicialmente como un virus capaz de infectar archivos ejecutables. Cada vez que uno de esos archivos se copiaba a otro ordenador, una unidad extraíble o un recurso compartido, el malware podía seguir propagándose.
Con el tiempo evolucionó hasta convertirse en una infraestructura mucho más sofisticada. A diferencia de las botnets tradicionales, Sality no dependía de un servidor central de mando y control al que los equipos infectados debían conectarse para recibir instrucciones. Los propios dispositivos comprometidos se comunicaban entre sí mediante una red P2P.
Explican los expertos que es esa descentralización lo que precisamente complicaba considerablemente su desmantelamiento. Eliminar un servidor o confiscar un dominio no era suficiente para acabar con ella porque la infraestructura podía continuar funcionando.
La estrategia funcionó durante años. Europol calcula que, a lo largo de su existencia, más de 11 millones de direcciones IP únicas estuvieron vinculadas a Sality y que, en sus momentos de mayor actividad, el operador llegó a disponer de hasta un millón de equipos infectados. De hecho, cuando comenzó la última operación permanecían conectados más de 15.000 sistemas distribuidos por diferentes países.
Sality tampoco permaneció inmutable. A lo largo de su historia fue utilizada para distribuir diferentes familias de malware destinadas al robo de credenciales, envío de spam, servicios proxy, explotación de redes o ataques distribuidos de denegación de servicio (DDoS). Sin embargo, su principal carga maliciosa durante cerca de ocho años fue EggJagger, una herramienta diseñada para robar criptomonedas. CrowdStrike estima que el responsable de Sality obtuvo al menos 150.000 dólares mediante este sistema, aunque se desconoce cuánto pudo generar el resto de las actividades desarrolladas durante más de dos décadas.
Atacar la confianza de la propia botnet
La arquitectura P2P hacía que Sality fuera especialmente resistente, pero escondía una debilidad: los equipos de la red confiaban en la información que recibían de otros nodos sin disponer de un mecanismo suficientemente sólido para verificar su identidad. Los investigadores de CrowdStrike estudiaron este funcionamiento hasta encontrar una forma de manipularlo; lo que se conoce como sinkholing: desviar las comunicaciones de los dispositivos comprometidos hacia una infraestructura bajo control de los defensores. En palabras de CrowdStrike, la operación atacó “la estructura de datos que se encuentra en el corazón del conocimiento de la red de cada bot: su lista de peers”.
Explican los investigadores que el proceso fue especialmente complejo porque muchos de los ordenadores infectados estaban protegidos, por lo que los investigadores tuvieron que esperar a que fueran ellos mismos los que se conectaran durante sus ciclos normales de actualización de la red. Sin embargo, poco a poco, las máquinas fueron quedando aisladas de los nodos controlados por el ciberdelincuente y el resultado es que el operador de Sality perdió la capacidad de comunicarse con los dispositivos infectados, enviarles nuevas instrucciones o distribuir nuevas cargas maliciosas.
Cortar también las vías alternativas
La operación técnica sobre la red P2P se acompañó de acciones policiales. Mientras CrowdStrike manipulaba la infraestructura de comunicación, las autoridades de Estados Unidos, Bulgaria, Hungría y Rumanía actuaron contra los dominios utilizados para alojar y distribuir las cargas maliciosas de Sality con el objetivo de evitar que alguna máquina que todavía conservara instrucciones antiguas pudiera descargar nuevo malware durante el proceso de aislamiento.
Shadowserver Foundation trabaja con proveedores de Internet y equipos nacionales de respuesta a incidentes para identificar los dispositivos afectados y comunicar las infecciones a sus propietarios.
La operación ha conseguido inutilizar la infraestructura, pero no significa necesariamente que todos esos ordenadores estén limpios. El malware puede continuar instalado y un dispositivo comprometido sigue representando un posible punto de entrada en una organización hasta que sea identificado y remediado.
Tampoco se ha anunciado la detención del responsable de Sality. CrowdStrike sitúa al operador en la región rusa de Bashkortostán, aunque las autoridades no han hecho pública su identidad.
Después de 23 años, Sality ha terminado demostrando algo aparentemente contradictorio: una arquitectura descentralizada puede eliminar muchos puntos únicos de fallo, pero no necesariamente elimina todos los puntos débiles.
