כך נותקה Sality אחרי 23 שנה: המבצע שהפך את רשת הבוטים נגד עצמה

ב־31 באוגוסט 2026 בוצע מבצע בינלאומי מתואם ששיבש את Sality — בוטנט ותיק שפעל ברשת עמית־לעמית (P2P). המהלך שילב תפיסה משפטית של דומיינים עם פעולת Sinkhole טכנית: הפניית מחשבים נגועים לתשתית מבוקרת, במקום לתשתית שבשליטת מפעיל הבוטנט. במבצע השתתפו משרד המשפטים האמריקאי, ה־FBI ושירות החקירות הפליליות של משרד ההגנה האמריקאי (DCIS), לצד רשויות בבולגריה, הונגריה ורומניה, חברת CrowdStrike וקרן Shadowserver. 167

לא רק לסגור שרתים: לנתק רשת מבוזרת

הרשויות בארה״ב תפסו דומיינים הקשורים ל־Sality, ששימשו לשליטה במחשבים שנפרצו ולהפצת מטענים זדוניים. במקביל ננקטו פעולות נגד תשתיות נוספות בבולגריה, בהונגריה וברומניה. 16

אלא שתפיסת דומיינים לבדה לא הספיקה. Sality נבנתה כבוטנט P2P: המחשבים הנגועים יכלו להחליף ביניהם מידע על מחשבים נגועים אחרים, במקום להיות תלויים לחלוטין במספר מצומצם של שרתי שליטה ובקרה. המבנה המבוזר הזה אפשר לרשת להמשיך לתפקד גם כששרת או דומיין בודד הוסר. 67

לכן צוות Counter Adversary Operations של CrowdStrike ביצע, בתיאום עם רשויות האכיפה ושותפים מהתעשייה, פעולת Sinkhole ברשת העמיתים. המטרה הייתה לבודד את המחשבים הנגועים ולהפוך את ערוץ הפיקוד של המפעיל לחסר תועלת. 17

החוסן של Sality הפך לנקודת התורפה שלה

חוקרי CrowdStrike ביצעו הנדסה לאחור של תקשורת ה־P2P של הבוטנט והתמקדו במנגנון רשימת העמיתים — המידע שבאמצעותו מחשב נגוע מאתר מחשבים נגועים אחרים. הם זיהו חולשות באופן שבו המידע הזה התקבל והופץ, ואז הזינו לרשת מידע כוזב על עמיתים. 613

בפועל, מחשבים נגועים החלו להתחבר לתשתית Sinkhole מבוקרת במקום לרשת של המפעיל. כך נחסמה יכולתו להשתמש ברשת הפעילה כדי להורות על הורדת קבצים חדשים או להפיץ מטענים זדוניים נוספים. 67

זו הייתה פעולה מורכבת במיוחד: החוקרים לא הסתפקו בהסרת שרת שליטה מרכזי. הם נדרשו להתמודד עם מערכת מבוזרת שבה מחשבים נגועים יכולים להפיץ ביניהם מידע באופן עצמאי. לכן נדרש גם מהלך משפטי נגד דומיינים וגם התערבות טכנית מתוזמנת, שתעקוף את מנגנון הגילוי של הבוטנט עצמו. 167

למה שימש הבוטנט

Sality פעל יותר משני עשורים ושימש להפצת מטענים זדוניים למחשבים שנדבקו. לפי דיווחים וחשבונות רשמיים, נעשה בו שימוש להפצת ספאם, מתקפות מניעת שירות מבוזרות (DDoS), גניבת פרטי הזדהות וגניבת מטבעות קריפטוגרפיים. 6

אחד המטענים שדווחו, EggJagger, עקב אחר כתובות ארנקים של מטבעות קריפטוגרפיים שהועתקו ללוח ההעתקה של הקורבן והחליף אותן בכתובת שבשליטת התוקף. כך ניתן היה להסיט העברות שנועדו, למשל, לביטקוין או לאת׳ריום. CrowdStrike העריכה כי EggJagger לבדו גנב לפחות 150,000 דולר במטבעות קריפטוגרפיים. 6

תפקידה של Shadowserver

קרן Shadowserver הייתה שותפה מהמגזר הפרטי במבצע הרב־לאומי, לצד CrowdStrike ורשויות האכיפה. משרד המשפטים האמריקאי זיהה את שני הגופים כמשתפי פעולה במאמץ המתואם לשבש את Sality ולהפיל את תשתיתה. 1

השותפות הזו חשובה משום ששיבוש בוטנט אינו משימה טכנית בלבד ואינו מהלך משפטי בלבד: תפיסת דומיינים מחייבת סמכות חוקית ותיאום בין מדינות, ואילו פעולת Sinkhole דורשת ניתוח טכני ויכולת ביצוע מבצעית. השילוב בין השניים צמצם את יכולתו של המפעיל להגיע לרשת המחשבים שנפרצו. 17

השיבוש אינו אומר שכל המחשבים נוקו

ניתוק בוטנט אינו זהה לניקוי כל מחשב שנדבק. לפי CrowdStrike, Sality אפשרה הפצה של מטענים זדוניים ליותר מ־33,000 מחשבים נגועים ברחבי העולם. 7

מבחינת ארגונים, נקודת קצה נגועה עדיין עשויה להיות דריסת רגל אפשרית: ייתכן שהנוזקה נותרה במחשב, שפרטי גישה כבר נחשפו, או שנדרשת בדיקה לפעילות זדונית נוספת. ה־Sinkhole מנתק את ערוץ הפיקוד הפעיל שתואר במבצע, אך אינו פוטר מאיתור וטיפול במערכות שנפגעו.

גם התוצאה ארוכת הטווח אינה ודאית. זהות מפעיל Sality לא פורסמה, והמידע הקיים מצדיק לתאר את הפעולה כשיבוש, לא כהוכחה שהאיום לא יוכל לשוב. המפעיל עשוי לנסות להחזיר גישה, לשנות את הנוזקה או להקים תשתית חלופית. 17

הלקח: כדי לפרק בוטנט P2P צריך יותר מסגירת דומיינים

הפעולה נגד Sality ממחישה מדוע בוטנטים מבוזרים מסוג P2P יכולים לשרוד זמן רב — ומדוע פירוקם מחייב יותר מהסרת כמה שרתים. המבנה המבוזר עזר ל־Sality להתמיד במשך שנים, אך אותו מנגנון של גילוי עמיתים סיפק לחוקרים נתיב לבודד את הרשת, כאשר הנדסה לאחור, Sinkholing ופעולה משפטית בינלאומית הופעלו יחד. 167