Näin 23 vuotta toiminut Sality-bottiverkko katkaistiin

Sality-bottiverkkoa häirittiin kansainvälisessä operaatiossa 31. elokuuta 2026. Toimissa yhdistettiin tuomioistuimen valtuuttamat verkkotunnusten takavarikoinnit ja tekninen P2P-sinkhole-operaatio, joka ohjasi saastuneita tietokoneita pois bottiverkon operaattorin hallitsemasta infrastruktuurista. Mukana olivat Yhdysvaltain oikeusministeriö, FBI ja Defense Criminal Investigative Service sekä Bulgarian, Unkarin ja Romanian viranomaiset, CrowdStrike ja Shadowserver Foundation. 167

Pelkkä verkkotunnusten sulkeminen ei olisi riittänyt

Yhdysvaltain viranomaiset takavarikoivat Salityyn liitettyjä verkkotunnuksia, joita käytettiin saastuneiden laitteiden hallintaan ja haitallisten ohjelmistolastien jakeluun. Bulgarian, Unkarin ja Romanian viranomaiset kohdistivat toimia omilla alueillaan sijaitsevaan lisäinfrastruktuuriin. 16

Sality ei kuitenkaan ollut riippuvainen vain pienestä joukosta kiinteitä komento- ja ohjauspalvelimia. Se oli P2P-bottiverkko eli vertaisverkko: saastuneet koneet pystyivät jakamaan keskenään tietoja muista saastuneista koneista. Hajautettu rakenne auttoi verkkoa jatkamaan toimintaansa, vaikka yksittäisiä palvelimia tai verkkotunnuksia poistettiin käytöstä. 67

Siksi CrowdStriken Counter Adversary Operations -tiimi toteutti viranomaisten ja muiden kumppaneiden kanssa P2P-sinkhole-operaation. Tavoitteena oli eristää saastuneet laitteet ja tehdä operaattorin komentokanavasta toimimaton. 17

Vertaisverkon vahvuudesta tuli sen heikkous

CrowdStrike selvitti Salityn P2P-viestinnän toimintaa käänteistekniikalla ja kohdisti toimensa vertaislistamekanismiin. Juuri sen avulla saastuneet koneet löysivät toisensa. Tutkijat havaitsivat heikkouksia siinä, miten koneet hyväksyivät ja välittivät kyseisiä tietoja, ja syöttivät verkkoon vääriä vertaisverkkotietoja. 613

Käytännössä saastuneet järjestelmät saatiin muodostamaan yhteyksiä hallittuun sinkhole-infrastruktuuriin operaattorin verkon sijaan. Näin operaattori ei voinut enää käyttää aktiivista verkkoa uusien latausohjeiden tai lisähaittaohjelmien toimittamiseen. 67

Operaatio oli poikkeuksellisen monimutkainen, koska kyse ei ollut yhden keskitetyn palvelimen poistamisesta. Vastassa oli hajautettu järjestelmä, jossa saastuneet koneet jakoivat itsenäisesti verkon löytämiseen tarvittavia tietoja. Verkkotunnuksiin kohdistuneet oikeudelliset toimet ja synkronoitu tekninen väliintulo tarvittiin yhdessä, jotta bottiverkon oma löytämismekanismi voitiin ottaa haltuun. 167

Mihin Salitya käytettiin?

Yli kaksi vuosikymmentä toiminutta Salitya käytettiin haitallisten ohjelmistolastien levittämiseen saastuneille koneille. Viranomaistiedot ja uutisointi kuvaavat sen tukeneen roskapostitoimintaa, palvelunestohyökkäyksiä, tunnistetietojen varkauksia ja kryptovaluuttojen anastamista. 6

Yksi raportoiduista haittaohjelmalasteista, EggJagger, tarkkaili uhrin leikepöytää kryptovaluuttalompakoiden osoitteiden varalta ja korvasi osoitteen hyökkääjän hallitsemalla osoitteella. Tällöin esimerkiksi suunniteltu Bitcoin- tai Ethereum-siirto saattoi päätyä väärään lompakkoon. CrowdStrike arvioi, että EggJagger oli yksin varastanut kryptovaluuttaa vähintään 150 000 dollarin arvosta. 6

Shadowserver Foundationin tehtävä

Shadowserver Foundation oli yksityisen sektorin kumppani monikansallisessa häirintäoperaatiossa CrowdStriken ja lainvalvontaviranomaisten rinnalla. Yhdysvaltain oikeusministeriö nimesi molemmat organisaatiot Salityn infrastruktuuriin kohdistuneen koordinoidun toiminnan yhteistyökumppaneiksi. 1

Bottiverkon häirintä ei ole pelkästään tekninen eikä pelkästään juridinen tehtävä. Verkkotunnusten takavarikointi edellyttää oikeudellista toimivaltaa ja kansainvälistä yhteistyötä, kun taas sinkholing vaatii erikoistunutta teknistä analyysia ja käytännön toteutusta. Näiden yhdistäminen heikensi operaattorin kykyä tavoittaa saastuneita laitteita. 17

Häiritty bottiverkko ei tarkoita puhtaita laitteita

Bottiverkon häirintä ei tarkoita, että jokainen saastunut kone olisi puhdistettu. CrowdStriken mukaan Sality oli mahdollistanut haitallisten ohjelmistolastien jakelun yli 33 000 saastuneelle koneelle maailmanlaajuisesti. 7

Tietoturvatiimeille saastunut päätelaite voi edelleen olla mahdollinen tunkeutumispiste. Laitteessa voi yhä olla haittaohjelma, se on voinut altistua tunnistetietojen varkauksille ja se voi vaatia jatkotoimien selvittämistä. Sinkhole katkaisee operaatiossa kuvatun aktiivisen komentoyhteyden, mutta organisaatioiden on silti löydettävä ja korjattava saastuneet järjestelmät.

Pidemmän aikavälin lopputulos on myös avoin. Salityn operaattoria ei ole julkisesti tunnistettu, joten käytettävissä olevien tietojen perusteella kyse on häirinnästä eikä varmuudesta, ettei uhka voisi palata. Operaattori voi yrittää saada laitteisiin uudelleen yhteyden, muokata haittaohjelmaa tai rakentaa korvaavaa infrastruktuuria. 17

Sality-operaation keskeinen opetus

Salityn tapaus osoittaa, miksi P2P-bottiverkot voivat olla sitkeitä ja miksi niiden purkaminen vaatii enemmän kuin muutaman palvelimen sulkemisen. Hajautettu rakenne auttoi verkkoa säilymään vuosia, mutta sama vertaislaitteiden löytämismekanismi tarjosi tutkijoille keinon eristää verkko, kun käänteistekniikka, sinkholing ja kansainväliset oikeudelliset toimet sovitettiin tehokkaasti yhteen. 167