Botnet Sality Diganggu Setelah 23 Tahun: Begini Cara CrowdStrike dan Aparat Membalikkan Jaringan P2P-nya

Pada 31 Agustus 2026, operasi internasional mengganggu botnet Sality yang telah aktif selama lebih dari dua dekade. Langkah ini memadukan penyitaan domain berdasarkan kewenangan hukum dengan operasi sinkhole peer-to-peer (P2P), yang mengarahkan komputer terinfeksi menjauh dari infrastruktur milik operator botnet. Operasi tersebut melibatkan Departemen Kehakiman AS, FBI, Defense Criminal Investigative Service (DCIS), otoritas Bulgaria, Hungaria, dan Rumania, serta CrowdStrike dan Shadowserver Foundation. 167

Bukan sekadar menutup server

Otoritas AS menyita domain terkait Sality yang digunakan untuk mengendalikan perangkat kompromi dan mendistribusikan muatan berbahaya (malicious payload). Otoritas di Bulgaria, Hungaria, dan Rumania juga menindak infrastruktur tambahan di wilayah hukum masing-masing. 16

Namun, penyitaan domain saja tidak cukup. Sality merupakan botnet P2P: komputer yang terinfeksi dapat berbagi informasi tentang komputer terinfeksi lain tanpa sepenuhnya bergantung pada sejumlah kecil server pusat command-and-control (C2). Desain terdesentralisasi ini membuatnya tetap dapat beroperasi meski server atau domain tertentu hilang. 67

Karena itu, tim Counter Adversary Operations CrowdStrike menjalankan operasi sinkhole P2P bersama aparat penegak hukum dan mitra industri. Tujuannya adalah mengisolasi perangkat yang terinfeksi dan membuat jalur kendali operator tidak lagi berfungsi. 17

Ketahanan Sality justru menjadi celahnya

CrowdStrike merekayasa balik komunikasi P2P Sality dan menargetkan mekanisme daftar rekan (peer list), yakni informasi yang digunakan perangkat kompromi untuk menemukan satu sama lain. Peneliti menemukan kelemahan dalam cara informasi tersebut diterima dan disebarkan, lalu memasukkan informasi rekan palsu ke dalam jaringan. 613

Secara praktis, perangkat terinfeksi kemudian diarahkan untuk terhubung ke infrastruktur sinkhole yang dikendalikan pihak operasi, alih-alih ke jaringan operator Sality. Ini menghambat operator menggunakan jaringan aktif untuk mengirim instruksi unduhan baru atau muatan berbahaya tambahan. 67

Kerumitannya terletak pada sasaran operasi: bukan satu server pusat yang bisa langsung dimatikan, melainkan sistem terdistribusi tempat komputer terinfeksi dapat berbagi informasi jaringan secara mandiri. Karena itu, penyitaan domain harus diselaraskan dengan intervensi teknis yang mampu mengambil alih proses pencarian rekan milik botnet. 167

Sality digunakan untuk apa?

Selama lebih dari 20 tahun beroperasi, Sality dipakai untuk mengirimkan muatan berbahaya ke perangkat terinfeksi. Laporan dan keterangan resmi menyebut pemakaiannya dalam aktivitas spam, serangan penolakan layanan terdistribusi (distributed-denial-of-service atau DDoS), pencurian kredensial, dan pencurian mata uang kripto. 6

Salah satu muatan yang dilaporkan, EggJagger, memantau alamat dompet kripto pada papan klip korban lalu menggantinya dengan alamat yang dikendalikan penyerang. Cara ini berpotensi mengalihkan transaksi Bitcoin atau Ethereum yang seharusnya dikirim korban. CrowdStrike memperkirakan EggJagger saja telah mencuri sedikitnya US$150.000 dalam mata uang kripto. 6

Peran Shadowserver Foundation

Shadowserver Foundation menjadi mitra sektor swasta dalam operasi multinasional tersebut, bersama CrowdStrike dan lembaga penegak hukum. Departemen Kehakiman AS menyebut kedua organisasi itu sebagai kolaborator dalam upaya terkoordinasi untuk mengganggu Sality dan melumpuhkan infrastrukturnya. 1

Kemitraan ini penting karena gangguan botnet bukan semata persoalan teknis atau hukum. Penyitaan domain memerlukan dasar hukum dan koordinasi lintas negara, sedangkan sinkholing membutuhkan analisis teknis serta pelaksanaan operasional khusus. Kombinasi keduanya mengurangi kemampuan operator untuk menjangkau jaringan perangkat yang telah dikompromikan. 17

Mengapa Sality masih menjadi perhatian

Botnet yang telah diganggu tidak berarti seluruh perangkat yang terinfeksi otomatis bersih. CrowdStrike menyatakan Sality memungkinkan distribusi muatan berbahaya ke lebih dari 33.000 mesin terinfeksi di seluruh dunia. 7

Bagi tim keamanan, endpoint yang terinfeksi tetap dapat menjadi titik masuk potensial. Perangkat itu mungkin masih menyimpan malware, pernah terpapar pencurian kredensial, atau perlu diperiksa untuk aktivitas lanjutan. Sinkhole memang memutus jalur kendali aktif yang menjadi sasaran operasi, tetapi organisasi tetap perlu mengidentifikasi dan memulihkan sistem terdampak.

Hasil jangka panjangnya juga belum pasti. Operator Sality belum diidentifikasi secara terbuka. Karena itu, bukti yang tersedia lebih tepat menggambarkan tindakan ini sebagai gangguan, bukan jaminan ancaman tidak akan pernah muncul lagi. Operator dapat mencoba memulihkan akses, memodifikasi malware, atau membangun infrastruktur pengganti. 17

Pelajaran utama dari kasus Sality

Kasus Sality menunjukkan mengapa botnet P2P dapat bertahan lama—dan mengapa membongkarnya membutuhkan lebih dari sekadar menutup beberapa server. Desain terdesentralisasinya membantu botnet ini bertahan bertahun-tahun, tetapi mekanisme pencarian rekan yang sama juga memberi penyelidik jalan untuk mengisolasi jaringan ketika rekayasa balik, sinkholing, dan tindakan hukum internasional dijalankan secara terkoordinasi. 167