Bagaimana CrowdStrike dan penguat kuasa menumpaskan botnet Sality

Pada 31 Ogos 2026, operasi antarabangsa yang diselaraskan telah mengganggu Sality, sebuah botnet rakan setara (peer-to-peer atau P2P) yang sudah beroperasi lebih dua dekad. Operasi itu menggabungkan rampasan domain berasaskan perintah mahkamah dengan tindakan teknikal sinkhole—iaitu mengalihkan komunikasi komputer yang dijangkiti ke infrastruktur terkawal, bukan kepada infrastruktur penjenayah. Usaha ini melibatkan Jabatan Kehakiman AS, FBI, Defense Criminal Investigative Service, pihak berkuasa Bulgaria, Hungary dan Romania, bersama CrowdStrike serta Shadowserver Foundation. 167

Bukan sekadar menutup pelayan

Pihak berkuasa AS merampas domain yang dikaitkan dengan Sality dan digunakan untuk mengawal peranti yang telah dikompromi serta mengedarkan muatan berbahaya. Pihak berkuasa di Bulgaria, Hungary dan Romania pula mengambil tindakan terhadap infrastruktur tambahan dalam bidang kuasa masing-masing. 16

Namun, merampas domain sahaja tidak mencukupi. Sality dibina sebagai botnet P2P: komputer yang dijangkiti boleh berkongsi maklumat tentang komputer dijangkiti lain tanpa bergantung sepenuhnya pada beberapa pelayan arahan dan kawalan yang tetap. Reka bentuk teragih ini membantunya terus berfungsi walaupun domain atau pelayan tertentu ditutup. 67

Atas sebab itu, pasukan Counter Adversary Operations CrowdStrike menjalankan operasi sinkhole P2P bersama agensi penguat kuasa dan rakan industri. Matlamatnya adalah untuk mengasingkan peranti dijangkiti dan menjadikan saluran arahan pengendali tidak lagi berfungsi. 17

Kekuatan Sality bertukar menjadi kelemahan

CrowdStrike melakukan kejuruteraan songsang terhadap komunikasi P2P Sality dan menyasarkan mekanisme senarai rakan (peer list)—maklumat yang digunakan komputer terjejas untuk mencari satu sama lain. Penyelidik mengenal pasti kelemahan pada cara maklumat itu diterima dan disebarkan, sebelum memasukkan maklumat rakan palsu ke dalam rangkaian. 613

Secara praktikal, komputer yang dijangkiti kemudian diarah untuk berhubung dengan infrastruktur sinkhole yang dikawal, bukannya rangkaian milik pengendali Sality. Ini menghalang pengendali daripada menggunakan rangkaian aktif itu untuk mengeluarkan arahan muat turun baharu atau menghantar muatan tambahan. 67

Inilah yang menjadikan operasi tersebut luar biasa rumit. Penyiasat bukan hanya menyingkirkan satu pelayan pusat; mereka perlu menentang sistem teragih yang membolehkan komputer dijangkiti berkongsi maklumat rangkaian secara bebas. Oleh itu, tindakan undang-undang terhadap domain perlu diselaraskan dengan campur tangan teknikal yang dapat mengatasi proses penemuan rakan dalam botnet itu sendiri. 167

Apa yang dilakukan Sality

Sality telah digunakan untuk menghantar muatan berniat jahat ke komputer dijangkiti. Laporan dan kenyataan rasmi mengaitkannya dengan aktiviti spam, serangan penafian perkhidmatan teragih (DDoS), kecurian kelayakan dan kecurian mata wang kripto. 6

Salah satu muatan yang dilaporkan, EggJagger, memantau papan keratan mangsa untuk alamat dompet mata wang kripto lalu menggantikannya dengan alamat yang dikawal penyerang. Taktik ini berpotensi mengalihkan pindahan Bitcoin atau Ethereum kepada penjenayah. CrowdStrike menganggarkan EggJagger sahaja telah mencuri sekurang-kurangnya AS$150,000 dalam mata wang kripto. 6

Peranan Shadowserver Foundation

Shadowserver Foundation ialah rakan sektor swasta dalam gangguan pelbagai negara ini, bekerja bersama CrowdStrike dan agensi penguat kuasa. Jabatan Kehakiman AS menamakan kedua-dua organisasi sebagai kolaborator dalam usaha menyelaras gangguan Sality dan menutup infrastrukturnya. 1

Kerjasama ini penting kerana mengganggu botnet bukan tugas teknikal atau undang-undang semata-mata. Rampasan domain memerlukan kuasa undang-undang serta penyelarasan merentas negara, manakala sinkholing memerlukan analisis teknikal dan pelaksanaan operasi yang khusus. Gabungan kedua-duanya mengecilkan keupayaan pengendali untuk mencapai rangkaian komputer yang telah dikompromi. 17

Mengapa ancaman belum lenyap sepenuhnya

Botnet yang telah diganggu tidak bermaksud setiap peranti dijangkiti telah dibersihkan. CrowdStrike menyatakan Sality membolehkan pengedaran muatan berbahaya kepada lebih 33,000 mesin dijangkiti di seluruh dunia. 7

Bagi pasukan keselamatan organisasi, titik hujung yang dijangkiti masih boleh menjadi pintu masuk kepada ancaman. Ia mungkin masih mengandungi perisian hasad, pernah terdedah kepada kecurian kelayakan, atau memerlukan siasatan bagi aktiviti susulan. Sinkhole memutuskan laluan arahan aktif yang disasarkan dalam operasi ini, tetapi organisasi masih perlu mengesan dan memulihkan sistem terlibat.

Hasil jangka panjangnya juga belum pasti. Pengendali Sality belum dikenal pasti secara terbuka, dan maklumat yang ada menyokong istilah gangguan, bukannya bukti bahawa ancaman itu tidak boleh kembali. Pengendali mungkin cuba mendapatkan semula akses, mengubah suai perisian hasad atau membina infrastruktur pengganti. 17

Pengajaran utama daripada Sality

Kes Sality menunjukkan sebab botnet P2P boleh bertahan lama—dan sebab menumpaskannya memerlukan lebih daripada menutup beberapa pelayan. Seni bina teragihnya membantu botnet ini bertahan selama bertahun-tahun, tetapi mekanisme pencarian rakan yang sama akhirnya memberi penyiasat laluan untuk mengasingkan rangkaian itu apabila kejuruteraan songsang, sinkholing dan tindakan undang-undang antarabangsa diselaraskan dengan berkesan. 167