Sality : comment CrowdStrike et les autorités ont neutralisé un botnet P2P après 23 ans

Le botnet Sality a été perturbé lors d’une opération internationale coordonnée le 31 août 2026. L’action a associé la saisie judiciaire de noms de domaine à une opération technique de sinkholing — ou redirection contrôlée — du réseau pair à pair (P2P). L’objectif : détourner les ordinateurs infectés des infrastructures contrôlées par l’opérateur du botnet. L’opération a réuni le département de la Justice des États-Unis, le FBI, le Defense Criminal Investigative Service (DCIS), les autorités de Bulgarie, de Hongrie et de Roumanie, ainsi que CrowdStrike et la Shadowserver Foundation. 167

Saisir les domaines ne suffisait pas

Les autorités américaines ont saisi des domaines associés à Sality, utilisés pour contrôler des appareils compromis et diffuser des charges malveillantes. Des autorités bulgares, hongroises et roumaines ont également agi contre des infrastructures situées dans leurs pays. 16

Mais Sality ne dépendait pas uniquement d’un petit nombre de serveurs de commande et de contrôle. Il s’agissait d’un botnet P2P : les machines infectées pouvaient s’échanger les coordonnées d’autres machines compromises. Cette organisation décentralisée lui permettait de continuer à fonctionner même après la disparition de serveurs ou de domaines particuliers. 67

L’équipe Counter Adversary Operations de CrowdStrike a donc mené, avec les autorités et les partenaires du secteur, une opération de sinkholing P2P. Elle visait à isoler les appareils infectés et à rendre inopérant le canal de commande de l’opérateur. 17

Retourner le mécanisme P2P contre Sality

CrowdStrike a procédé à l’ingénierie inverse des communications P2P du botnet et s’est concentré sur son mécanisme de liste de pairs : les informations qui permettent à une machine infectée de repérer les autres. Les chercheurs ont identifié des faiblesses dans l’acceptation et la diffusion de ces données, puis ont injecté de fausses informations sur les pairs dans le réseau. 613

Concrètement, les systèmes compromis ont été amenés à se connecter à une infrastructure de sinkhole contrôlée, plutôt qu’au réseau de l’opérateur. Celui-ci ne pouvait alors plus utiliser le réseau actif pour envoyer de nouvelles instructions de téléchargement ou distribuer d’autres charges malveillantes. 67

L’opération était particulièrement complexe : il ne s’agissait pas simplement de retirer un serveur central. Les enquêteurs devaient contrer un système distribué dans lequel les machines infectées partageaient elles-mêmes des informations de connexion. La saisie des domaines devait donc être synchronisée avec une intervention technique capable de prendre le dessus sur le mécanisme de découverte du botnet. 167

Spam, attaques DDoS et vols de cryptomonnaies

Actif depuis plus de deux décennies, Sality servait à déployer des charges malveillantes sur les ordinateurs infectés. Les récits des autorités et la couverture de l’opération mentionnent notamment l’envoi de spam, des attaques par déni de service distribué (DDoS), le vol d’identifiants et le vol de cryptomonnaies. 6

L’une des charges signalées, EggJagger, surveillait le presse-papiers de la victime à la recherche d’adresses de portefeuilles de cryptomonnaies. Elle les remplaçait par une adresse contrôlée par l’attaquant, ce qui pouvait détourner des transferts de Bitcoin ou d’Ethereum. CrowdStrike estime qu’EggJagger a, à lui seul, dérobé au moins 150 000 dollars de cryptomonnaies. 6

Le rôle de la Shadowserver Foundation

La Shadowserver Foundation a participé à cette perturbation multinationale en tant que partenaire du secteur privé, aux côtés de CrowdStrike et des services d’enquête. Le département américain de la Justice a cité les deux organisations parmi les collaborateurs de l’opération coordonnée contre Sality et son infrastructure. 1

Cette complémentarité est déterminante dans ce type d’action : les saisies de domaines exigent une base juridique et une coordination entre pays, tandis que le sinkholing requiert une analyse technique spécialisée et une exécution opérationnelle. Ensemble, ces volets ont réduit la capacité de l’opérateur à joindre les machines compromises. 17

Un botnet perturbé, pas des ordinateurs guéris

La perturbation d’un botnet ne signifie pas que chaque machine infectée a été nettoyée. CrowdStrike indique que Sality avait permis de diffuser des charges malveillantes vers plus de 33 000 machines infectées dans le monde. 7

Pour les équipes de sécurité, un poste compromis reste un point d’entrée potentiel : il peut encore contenir le logiciel malveillant, avoir subi un vol d’identifiants ou nécessiter une investigation sur d’éventuelles activités ultérieures. Le sinkhole bloque le canal de commande actif visé par l’opération, mais les organisations doivent toujours identifier et assainir les systèmes concernés.

L’issue à long terme demeure incertaine. L’opérateur de Sality n’a pas été identifié publiquement. Les éléments disponibles permettent donc de parler d’une perturbation, et non de garantir une disparition définitive de la menace : l’opérateur pourrait tenter de reprendre l’accès, modifier le malware ou mettre en place une nouvelle infrastructure. 17

Ce que montre l’affaire Sality

Le démantèlement de Sality illustre à la fois la résistance des botnets P2P et la manière de les contrer. Leur conception décentralisée leur permet de survivre à la suppression de quelques serveurs ; mais, dans ce cas, le même mécanisme de découverte des pairs a donné aux enquêteurs un moyen d’isoler le réseau. La combinaison de l’ingénierie inverse, du sinkholing et d’une action juridique internationale coordonnée a été décisive. 167