Como a CrowdStrike e autoridades internacionais interromperam a botnet Sality após 23 anos

Em 31 de agosto de 2026, uma operação internacional interrompeu a botnet Sality, ativa havia mais de duas décadas. A ação reuniu o Departamento de Justiça dos Estados Unidos, FBI, Serviço de Investigação Criminal de Defesa (DCIS), autoridades da Bulgária, Hungria e Romênia, a CrowdStrike e a Shadowserver Foundation. O plano combinou apreensões judiciais de domínios com uma operação técnica de sinkhole na rede ponto a ponto (P2P), redirecionando computadores infectados para uma infraestrutura controlada e afastando-os da rede do operador. 167

Ação em duas frentes: domínios apreendidos e rede isolada

Autoridades dos EUA apreenderam domínios associados à Sality, usados para controlar dispositivos comprometidos e distribuir cargas maliciosas. Bulgária, Hungria e Romênia também agiram contra infraestrutura ligada à botnet em seus territórios. 16

Só retirar domínios do ar, porém, não seria suficiente. A Sality funcionava como uma botnet P2P: computadores infectados podiam trocar entre si informações sobre outros dispositivos comprometidos, em vez de depender exclusivamente de um pequeno conjunto fixo de servidores de comando e controle. Essa descentralização permitia que a rede continuasse operando mesmo após a derrubada de servidores ou domínios individuais. 67

Por isso, a equipe Counter Adversary Operations da CrowdStrike executou, em parceria com autoridades e empresas do setor, uma operação de sinkhole P2P. O objetivo era isolar as máquinas infectadas e tornar inativo o canal de comando do operador. 17

Como a arquitetura resiliente virou uma vulnerabilidade

A CrowdStrike fez engenharia reversa das comunicações P2P da botnet e mirou o mecanismo de lista de pares — a informação usada pelos dispositivos comprometidos para localizar uns aos outros. Os pesquisadores identificaram fragilidades na forma como essa informação era aceita e propagada e passaram a inserir dados falsos na rede. 613

Na prática, os sistemas infectados foram induzidos a se conectar à infraestrutura de sinkhole controlada pela operação, e não à rede do criminoso. Isso bloqueou a capacidade do operador de usar a rede ativa para enviar novas instruções de download ou distribuir cargas maliciosas adicionais. 67

A complexidade vinha justamente do fato de que não havia apenas um servidor central a ser removido. Era preciso neutralizar um sistema distribuído, no qual máquinas infectadas podiam compartilhar informações de rede de forma autônoma. A operação exigiu, ao mesmo tempo, medidas legais contra os domínios e uma intervenção técnica sincronizada capaz de superar o próprio mecanismo de descoberta de pares da Sality. 167

Para que a Sality era usada

A Sality operou por mais de 20 anos e serviu para distribuir cargas maliciosas em dispositivos infectados. Relatos e informações oficiais apontam uso em campanhas de spam, ataques de negação de serviço distribuída (DDoS), roubo de credenciais e furto de criptomoedas. 6

Uma das cargas relatadas, chamada EggJagger, monitorava a área de transferência da vítima em busca de endereços de carteiras de criptomoedas e os substituía por um endereço controlado pelo invasor. Assim, transferências de Bitcoin ou Ethereum que a vítima pretendia fazer poderiam ser desviadas. A CrowdStrike estimou que o EggJagger, sozinho, havia roubado ao menos US$ 150 mil em criptomoedas. 6

O papel da Shadowserver Foundation

A Shadowserver Foundation participou como parceira do setor privado na ação multinacional, ao lado da CrowdStrike e das agências de segurança pública. O Departamento de Justiça dos EUA identificou as duas organizações como colaboradoras do esforço coordenado para interromper a Sality e derrubar sua infraestrutura. 1

Esse tipo de parceria é decisivo porque uma operação contra botnets não é apenas uma tarefa técnica — nem apenas jurídica. Apreender domínios demanda autorização legal e cooperação internacional; conduzir um sinkhole exige análise técnica especializada e execução operacional. A combinação das duas frentes reduziu a capacidade do operador de alcançar a rede de dispositivos comprometidos. 17

Por que o risco não desapareceu

Interromper uma botnet não significa que todos os computadores infectados tenham sido limpos. A CrowdStrike afirmou que a Sality permitiu a distribuição de cargas maliciosas para mais de 33 mil máquinas infectadas no mundo. 7

Para equipes de segurança, um endpoint infectado continua sendo uma possível porta de entrada. Ele pode ainda conter malware, ter sido exposto ao roubo de credenciais ou exigir investigação em busca de outras atividades maliciosas. O sinkhole corta o caminho ativo de comando descrito na operação, mas não substitui a identificação e a remediação dos sistemas afetados.

O desfecho de longo prazo também permanece incerto. O operador da Sality não foi identificado publicamente. Portanto, as informações disponíveis sustentam a descrição de uma interrupção, não a garantia de que a ameaça não poderá retornar. O responsável pode tentar recuperar o acesso, modificar o malware ou montar infraestrutura substituta. 17

A principal lição do caso Sality

A derrubada da Sality mostra por que botnets P2P podem ser tão duradouras — e por que desmontá-las exige mais do que tirar alguns servidores do ar. A arquitetura descentralizada ajudou a rede a sobreviver por anos, mas o mesmo mecanismo de descoberta de pares ofereceu aos investigadores um caminho para isolá-la, quando engenharia reversa, sinkholing e ação legal internacional foram coordenados de forma eficaz. 167