Sality बॉटनेट पर कार्रवाई: उसकी P2P ताकत को ही कैसे उसके खिलाफ इस्तेमाल किया गया

31 अगस्त 2026 को एक समन्वित अंतरराष्ट्रीय अभियान में Sality बॉटनेट को बाधित किया गया। इस कार्रवाई में अदालत के आदेश के आधार पर डोमेन जब्त किए गए और एक तकनीकी पीयर-टू-पीयर (P2P) सिंकहोल ऑपरेशन चलाया गया, जिसने संक्रमित कंप्यूटरों को बॉटनेट ऑपरेटर के नियंत्रण वाले ढांचे से दूसरी दिशा में मोड़ दिया। अभियान में अमेरिकी न्याय विभाग, FBI और डिफेंस क्रिमिनल इन्वेस्टिगेटिव सर्विस; बुल्गारिया, हंगरी और रोमानिया की एजेंसियां; CrowdStrike; तथा Shadowserver Foundation शामिल थे। 167

पहले डोमेन जब्त हुए, फिर नेटवर्क का संपर्क तोड़ा गया

अमेरिकी अधिकारियों ने Sality से जुड़े उन डोमेन को जब्त किया जिनका इस्तेमाल संक्रमित डिवाइसों को नियंत्रित करने और दुर्भावनापूर्ण पेलोड पहुंचाने के लिए होता था। बुल्गारिया, हंगरी और रोमानिया में भी अधिकारियों ने अपने-अपने अधिकार क्षेत्रों में मौजूद अतिरिक्त ढांचे के खिलाफ कार्रवाई की। 16

लेकिन केवल डोमेन जब्त करना पर्याप्त नहीं था। Sality एक P2P बॉटनेट था—यानी संक्रमित मशीनें कुछ तय कमांड-एंड-कंट्रोल सर्वरों पर पूरी तरह निर्भर रहने के बजाय, दूसरे संक्रमित कंप्यूटरों की जानकारी आपस में बांट सकती थीं। यही विकेंद्रीकृत ढांचा उसे तब भी चालू रहने देता था जब कुछ सर्वर या डोमेन हटा दिए जाते थे। 67

इसीलिए CrowdStrike की Counter Adversary Operations टीम ने कानून प्रवर्तन एजेंसियों और उद्योग साझेदारों के साथ P2P सिंकहोल ऑपरेशन चलाया। इसका उद्देश्य संक्रमित मशीनों को अलग-थलग करना और ऑपरेटर के कमांड चैनल को निष्क्रिय बनाना था। 17

Sality की मजबूती ही उसकी कमजोरी कैसे बनी

CrowdStrike ने बॉटनेट के P2P संचार का रिवर्स इंजीनियरिंग के जरिए विश्लेषण किया और उसकी पीयर-लिस्ट प्रणाली को निशाना बनाया। यही वह जानकारी थी जिससे संक्रमित मशीनें अन्य संक्रमित मशीनों को खोजती थीं। शोधकर्ताओं ने इस जानकारी के स्वीकार और प्रसार में कमजोरियां पहचानीं, फिर नेटवर्क में गलत पीयर जानकारी डाली। 613

व्यावहारिक रूप से इसका असर यह हुआ कि संक्रमित सिस्टम ऑपरेटर के नेटवर्क की जगह नियंत्रित सिंकहोल ढांचे से जुड़ने लगे। इससे ऑपरेटर सक्रिय नेटवर्क के जरिये नए डाउनलोड निर्देश जारी नहीं कर सका और न ही अतिरिक्त पेलोड पहुंचा सका। 67

कार्रवाई असाधारण रूप से जटिल थी, क्योंकि जांचकर्ताओं को कोई एक केंद्रीय सर्वर हटाना भर नहीं था। उन्हें ऐसे वितरित नेटवर्क का सामना करना था जिसमें संक्रमित मशीनें खुद नेटवर्क-संबंधी जानकारी साझा कर सकती थीं। इसलिए डोमेन पर कानूनी कार्रवाई और बॉटनेट की अपनी खोज-प्रक्रिया को मात देने वाला एक साथ किया गया तकनीकी हस्तक्षेप, दोनों जरूरी थे। 167

Sality का इस्तेमाल किस लिए हुआ था

Sality दो दशकों से अधिक समय तक सक्रिय रहा और संक्रमित मशीनों तक दुर्भावनापूर्ण पेलोड पहुंचाने के लिए इस्तेमाल हुआ। आधिकारिक विवरणों और रिपोर्टिंग में इसके स्पैम गतिविधियों, डिस्ट्रीब्यूटेड डिनायल-ऑफ-सर्विस (DDoS) हमलों, क्रेडेंशियल चोरी और क्रिप्टोकरेंसी चोरी से जुड़े होने का उल्लेख है। 6

रिपोर्ट किया गया एक पेलोड, EggJagger, पीड़ित के क्लिपबोर्ड में मौजूद क्रिप्टो वॉलेट पते पर नजर रखता था और उसे हमलावर के नियंत्रित पते से बदल देता था। इससे भेजे जाने वाले Bitcoin या Ethereum को गलत पते पर भेजे जाने का जोखिम था। CrowdStrike के अनुसार, केवल EggJagger ने कम-से-कम 150,000 डॉलर की क्रिप्टोकरेंसी चुराई थी। 6

Shadowserver Foundation की भूमिका

Shadowserver Foundation इस बहुराष्ट्रीय कार्रवाई में निजी क्षेत्र का एक भागीदार था और उसने CrowdStrike तथा कानून प्रवर्तन एजेंसियों के साथ काम किया। अमेरिकी न्याय विभाग ने दोनों संगठनों को Sality और उसके ढांचे को बाधित करने के समन्वित प्रयास के सहयोगी के रूप में पहचाना। 1

ऐसी कार्रवाई केवल तकनीकी या केवल कानूनी प्रक्रिया नहीं होती। डोमेन जब्त करने के लिए कानूनी अधिकार और कई देशों के बीच समन्वय चाहिए, जबकि सिंकहोलिंग के लिए विशेष तकनीकी विश्लेषण और संचालन क्षमता जरूरी होती है। दोनों को मिलाने से ऑपरेटर की संक्रमित नेटवर्क तक पहुंच सीमित हुई। 17

बॉटनेट बाधित हुआ है, हर संक्रमित डिवाइस साफ नहीं हुआ

किसी बॉटनेट को बाधित करने का अर्थ यह नहीं कि हर संक्रमित कंप्यूटर से मैलवेयर हट चुका है। CrowdStrike के अनुसार, Sality ने दुनिया भर में 33,000 से अधिक संक्रमित मशीनों तक दुर्भावनापूर्ण पेलोड पहुंचाने में ऑपरेटर को सक्षम बनाया था। 7

सुरक्षा टीमों के लिए संक्रमित एंडपॉइंट अब भी संभावित प्रवेश-बिंदु हो सकता है। उसमें मैलवेयर मौजूद हो सकता है, क्रेडेंशियल चोरी का जोखिम रह चुका हो सकता है या आगे की संदिग्ध गतिविधि की जांच जरूरी हो सकती है। सिंकहोल ने इस अभियान में बताए गए सक्रिय कमांड पथ को काट दिया, लेकिन प्रभावित संगठनों को डिवाइस पहचानने और उन्हें ठीक करने की जरूरत बनी रहती है।

लंबे समय का परिणाम भी अभी निश्चित नहीं है। Sality के ऑपरेटर की सार्वजनिक रूप से पहचान नहीं हुई है। उपलब्ध जानकारी इस कार्रवाई को बाधित करना कहने का समर्थन करती है, न कि इस बात का प्रमाण कि खतरा कभी लौट नहीं सकता। ऑपरेटर दोबारा पहुंच पाने, मैलवेयर बदलने या नया ढांचा खड़ा करने की कोशिश कर सकता है। 17

Sality से मुख्य सबक

Sality की कार्रवाई बताती है कि P2P बॉटनेट इतने लंबे समय तक क्यों टिक सकते हैं—और उन्हें रोकने के लिए कुछ सर्वर बंद करना क्यों काफी नहीं होता। इसका विकेंद्रीकृत ढांचा वर्षों तक इसकी ढाल बना रहा, लेकिन यही पीयर-डिस्कवरी तंत्र जांचकर्ताओं के लिए नेटवर्क को अलग-थलग करने का रास्ता भी बना। रिवर्स इंजीनियरिंग, सिंकहोलिंग और अंतरराष्ट्रीय कानूनी कार्रवाई को एक साथ समन्वित करने पर इस बॉटनेट की अपनी संरचना उसके खिलाफ इस्तेमाल की जा सकी। 167