Sality, come è stata interrotta la botnet P2P rimasta attiva per 23 anni

Il 31 agosto 2026 un’operazione internazionale ha interrotto Sality, una botnet peer-to-peer (P2P) attiva da più di due decenni. L’azione ha combinato sequestri di domini autorizzati dal tribunale e un’operazione tecnica di sinkholing: i computer infetti sono stati reindirizzati lontano dall’infrastruttura dell’operatore. Hanno partecipato il Dipartimento di Giustizia degli Stati Uniti, FBI e Defense Criminal Investigative Service (DCIS), le autorità di Bulgaria, Ungheria e Romania, CrowdStrike e la Shadowserver Foundation. 167

Prima i domini, poi l’isolamento della rete

Le autorità statunitensi hanno sequestrato domini associati a Sality, impiegati per controllare dispositivi compromessi e distribuire carichi malevoli. Autorità bulgare, ungheresi e romene sono intervenute su ulteriori infrastrutture nelle rispettive giurisdizioni. 16

Non sarebbe però bastato rimuovere alcuni domini. Sality era una botnet P2P: anziché dipendere esclusivamente da pochi server centrali di comando e controllo, le macchine infette potevano scambiarsi informazioni su altri computer compromessi. Questa architettura decentralizzata le permetteva di continuare a funzionare anche quando singoli server o domini venivano eliminati. 67

Per questo il team Counter Adversary Operations di CrowdStrike ha condotto, insieme alle forze dell’ordine e ai partner del settore, un’operazione di sinkholing P2P. L’obiettivo era isolare i dispositivi infetti e rendere inutilizzabile il canale di comando dell’operatore. 17

La debolezza nascosta nella resilienza P2P

I ricercatori di CrowdStrike hanno analizzato tramite reverse engineering le comunicazioni P2P della botnet, concentrandosi sul meccanismo con cui ogni sistema infetto costruiva e condivideva l’elenco dei peer. Hanno individuato debolezze nel modo in cui queste informazioni venivano accettate e propagate, quindi hanno immesso nella rete dati falsi sui peer. 613

In sostanza, i dispositivi compromessi sono stati indotti a connettersi a infrastrutture sinkhole controllate invece che alla rete dell’operatore. Ciò ha impedito all’operatore di usare la rete ancora attiva per inviare nuove istruzioni di download o ulteriori payload malevoli. 67

La complessità dell’intervento sta proprio qui: non si trattava soltanto di spegnere un server centrale. Gli investigatori dovevano contrastare un sistema distribuito, nel quale le macchine infette potevano scambiarsi autonomamente informazioni di rete. Servivano quindi, nello stesso momento, azioni legali sui domini e un intervento tecnico capace di prevalere sul processo di scoperta dei peer della botnet. 167

Spam, DDoS, furto di credenziali e criptovalute

Sality è stata usata per oltre vent’anni per distribuire payload malevoli sui sistemi infetti. Resoconti giornalistici e fonti ufficiali descrivono impieghi per attività di spam, attacchi DDoS (distributed denial of service, cioè saturazione di un servizio con traffico), furto di credenziali e furto di criptovalute. 6

Uno dei payload segnalati, EggJagger, monitorava gli indirizzi di wallet di criptovalute copiati negli appunti della vittima e li sostituiva con un indirizzo controllato dall’attaccante. In questo modo potevano essere dirottati trasferimenti in Bitcoin o Ethereum. CrowdStrike ha stimato che EggJagger da solo abbia sottratto almeno 150.000 dollari in criptovalute. 6

Il contributo della Shadowserver Foundation

La Shadowserver Foundation è stata partner del settore privato nell’operazione multinazionale, insieme a CrowdStrike e alle agenzie di polizia. Il Dipartimento di Giustizia statunitense ha indicato entrambe le organizzazioni come collaboratrici dell’azione coordinata contro Sality e la sua infrastruttura. 1

Operazioni di questo tipo non sono soltanto un esercizio tecnico né esclusivamente giudiziario. Il sequestro di domini richiede autorità legale e coordinamento fra Paesi; il sinkholing richiede analisi specialistiche e capacità operativa. L’unione dei due elementi ha ridotto la capacità dell’operatore di raggiungere la rete di dispositivi compromessi. 17

Perché il rischio non è finito con il sinkhole

Interrompere una botnet non significa che ogni dispositivo infetto sia stato ripulito. Secondo CrowdStrike, Sality aveva consentito la distribuzione di payload malevoli a oltre 33.000 macchine infette nel mondo. 7

Per chi difende una rete, un endpoint infetto può restare un punto d’accesso potenziale: può ancora contenere malware, essere stato esposto al furto di credenziali o richiedere verifiche su attività successive. Il sinkhole interrompe il canale di comando attivo descritto dall’operazione, ma aziende e amministratori devono comunque identificare e bonificare i sistemi coinvolti.

Resta inoltre incerto l’esito sul lungo periodo. L’operatore di Sality non è stato identificato pubblicamente: le informazioni disponibili consentono di parlare di un’interruzione, non di una garanzia che la minaccia non possa riemergere. L’operatore potrebbe tentare di recuperare l’accesso, modificare il malware o creare infrastrutture sostitutive. 17

La lezione di Sality

Il caso Sality mostra perché le botnet P2P possano durare nel tempo e perché non basti chiudere qualche server per smantellarle. La decentralizzazione ha aiutato la rete a sopravvivere per anni, ma lo stesso sistema di scoperta dei peer ha offerto agli investigatori un modo per isolarla, grazie al coordinamento tra reverse engineering, sinkholing e azione legale internazionale. 167