Un'operazione internazionale ha neutralizzato la botnet Sality sfruttando le sue stesse debolezze: ora i dispositivi infetti non possono più ricevere nuovi malware, ma il rischio residuo resta alto. Ecco come è stato possibile ribaltare la logica della resilienza P2P.
La resilienza della botnet Sality, per anni considerata un modello di invulnerabilità grazie alla sua architettura peer-to-peer, è crollata in poche ore: le autorità hanno manipolato la rete P2P dall'interno, isolando i dispositivi infetti e bloccando la diffusione di nuovi payload. Un colpo chirurgico che ha trasformato la forza della botnet nella sua condanna definitiva.
Il 31 agosto 2026, la U.S. Department of Justice, insieme a Bulgaria, Ungheria, Romania e ai partner privati CrowdStrike e Shadowserver Foundation, ha orchestrato una delle più sofisticate operazioni di sinkholing mai viste contro una botnet. L'obiettivo: sabotare la comunicazione tra i nodi Sality e i suoi operatori, sfruttando la totale assenza di autenticazione e la cieca fiducia tra peer.
Come Sality è diventata vulnerabile alla sua stessa architettura
Sality non era una minaccia qualunque: attiva dal 2003, ha infettato oltre 15.000 macchine Windows in tutto il mondo, evolvendosi in una piattaforma per furto di credenziali, spam, servizi proxy, attacchi DDoS e, soprattutto, clipjacking di criptovalute tramite il payload EggJagger. Il gruppo dietro Sality - noto come Salty Spider, Kukacka, KuKu, SalLoad, Kookoo e SaliCode - è ritenuto operativo dalla Repubblica del Bashkortostan, in Russia.
La sua forza era la decentralizzazione: due reti P2P indipendenti (versione 3 e 4), stesso codice ma protocolli e chiavi diverse, permettevano di eludere i classici blocchi dei server C2. Ma proprio questa struttura, priva di autenticazione e di qualsiasi allowlist, ha permesso agli investigatori di infiltrarsi come peer legittimi, manipolando la lista dei super peer - i nodi pubblicamente raggiungibili che costituiscono la spina dorsale della botnet.
Ogni 40 minuti, i bot Sality verificano la presenza dei peer nella loro lista: chi risponde guadagna reputazione, chi non risponde viene eliminato. Gli agenti hanno sfruttato questo ciclo per sostituire i peer reali con nodi sinkhole, isolando progressivamente tutti i dispositivi e impedendo la propagazione di nuovi file e URL malevoli.
Le prove tecniche e le dichiarazioni dei protagonisti
La lista dei domini sequestrati e dei file bloccati è lunga: tra questi, theunforgiven.p8[.]hu/img/top.gif, sgwebdesigner.free[.]fr/left.gif, gatheredovertime[.]com/nb4 e altri ancora. Tutti i dispositivi infetti ora tentano di comunicare con l'IP "188.166.101[.]148", gestito da CrowdStrike, segnalando la presenza di Sality in rete. Le organizzazioni sono invitate a monitorare i log UDP verso questo indirizzo per identificare eventuali compromissioni residue.
Bill Essayli, First Assistant United States Attorney, ha sottolineato: "Cybercriminals, botnets, and malware are a clear and present danger to our nation's security and economy. This successful effort to take down the Sality botnet shows that by working together, the public and private sectors can be a powerful force for good."
Patrick Grandy, Assistant Director in Charge dell'FBI di Los Angeles, ha aggiunto: "This unique collaboration among international law enforcement and private sector partners only enhances the FBI's cybersecurity capabilities and our efforts to neutralize the threat posed by the Sality botnet."
Il metodo di peer list manipulation, già visto nei casi GameOver Zeus (2014) e Kelihos (2017), si è rivelato decisivo: la totale assenza di autenticazione ha permesso agli agenti di inserirsi come peer "fantasma", svuotando la rete dall'interno senza possibilità di aggiornamento o patch da parte degli attaccanti.
Impatto operativo e rischi residui
La neutralizzazione di Sality ha bloccato la distribuzione di nuovi payload, ma i dispositivi già infetti restano vulnerabili: il malware residente continua a operare finché non viene rimosso manualmente. CrowdStrike avverte che la resilienza P2P, spesso considerata un baluardo contro le forze dell'ordine, può trasformarsi in un punto debole se il protocollo non prevede autenticazione o identità crittografiche.
Le campagne DDoS orchestrate tramite Sality - tra cui l'attacco al forum ucraino "kharkovforum[.]com" il giorno dopo l'invasione russa del 2022 - dimostrano che la botnet non era solo uno strumento di profitto, ma anche di pressione politica. La sua capacità di auto-propagarsi tramite condivisione di file, dispositivi USB, siti compromessi ed email infette l'ha resa una delle minacce più persistenti degli ultimi vent'anni.
Non è la prima volta che la sicurezza di Windows viene aggirata sfruttando le debolezze architetturali: come riportato in passato, anche i driver di sistema possono essere manipolati per eludere i controlli tradizionali.
La lezione per la cybersecurity e il futuro delle botnet
L'operazione Sality si inserisce nella strategia "Shape Adversary Behavior" della Cyber Strategy americana, puntando a degradare le infrastrutture criminali e a modificare il calcolo degli avversari. La collaborazione tra forze dell'ordine e industria privata ha dimostrato che anche le architetture P2P più sofisticate possono essere smantellate con una comprensione profonda dei protocolli e un investimento tecnico mirato.
La realtà è che la sicurezza informatica non è mai statica: ogni innovazione difensiva o offensiva genera nuove vulnerabilità. Sality, nata per essere inarrestabile, è stata abbattuta proprio dalla sua mancanza di controlli interni. Chi progetta malware dovrà ora ripensare radicalmente le proprie strategie, mentre chi difende le reti sa che nessuna infrastruttura criminale è davvero intoccabile. La partita tra attaccanti e difensori si gioca sempre più sulla capacità di leggere e manipolare le regole del gioco, non solo sulla forza bruta o sulla quantità di bot infetti.
