Sality Botnet’i: Alan Adı Operasyonu ve P2P Tuzaklama ile 23 Yıllık Ağ Nasıl Kesildi?

Sality botnet’i, 31 Ağustos 2026’da yürütülen koordineli uluslararası operasyonla sekteye uğratıldı. Operasyon, mahkeme destekli alan adı el koymalarını, enfekte bilgisayarları botnet operatörünün altyapısından uzaklaştıran teknik bir eşler arası (P2P) sinkhole işlemiyle birleştirdi. Çalışmaya ABD Adalet Bakanlığı, FBI, Savunma Suç Soruşturma Servisi (DCIS), Bulgaristan, Macaristan ve Romanya’daki makamların yanı sıra CrowdStrike ve Shadowserver Foundation katıldı. 167

Önce alan adları, ardından dağıtık ağ hedef alındı

ABD makamları, ele geçirilmiş cihazları yönetmek ve kötü amaçlı yük dağıtmak için kullanılan Sality bağlantılı alan adlarına el koydu. Bulgaristan, Macaristan ve Romanya’daki yetkililer de kendi yargı bölgelerindeki ek altyapıya karşı işlem yaptı. 16

Ancak tek başına alan adlarına el koymak yeterli değildi. Sality, P2P mimariye sahipti: enfekte bilgisayarlar, sınırlı sayıdaki sabit komuta-kontrol sunucusuna tamamen bağlı kalmadan birbirleri hakkında bilgi paylaşabiliyordu. Bu merkezsiz yapı, bazı sunucular veya alan adları ortadan kaldırılsa bile ağın çalışmayı sürdürmesini kolaylaştırıyordu. 67

Bu nedenle CrowdStrike’ın Counter Adversary Operations ekibi, kolluk kuvvetleri ve sektör ortaklarıyla birlikte bir P2P sinkhole operasyonu yürüttü. Amaç, enfekte cihazları izole etmek ve operatörün komuta kanalını işlevsiz hâle getirmekti. 17

Sality’nin dayanıklılığı nasıl zayıf noktasına dönüştü?

CrowdStrike, botnet’in P2P iletişimini tersine mühendislikle inceledi ve ele geçirilmiş cihazların birbirini bulmak için kullandığı eş listesi mekanizmasını hedef aldı. Araştırmacılar, bu bilgilerin kabul edilme ve ağda yayılma biçimindeki açıkları belirleyerek ağa sahte eş bilgileri yerleştirdi. 613

Pratikte bunun anlamı, enfekte sistemlerin operatörün ağı yerine denetim altındaki sinkhole altyapısına bağlanmasıydı. Böylece operatörün etkin ağ üzerinden yeni indirme talimatları göndermesi veya ek kötü amaçlı yükler ulaştırması engellendi. 67

Bu, sıradan bir merkezi sunucuyu kapatmaktan çok daha karmaşıktı. Araştırmacıların, enfekte bilgisayarların ağ bilgisini bağımsız biçimde paylaşabildiği dağıtık bir sistemi karşılaması gerekiyordu. Bu yüzden alan adlarına yönelik hukuki işlem ile botnet’in kendi keşif sürecini devralacak eş zamanlı teknik müdahale birlikte yürütüldü. 167

Sality hangi amaçlarla kullanılıyordu?

Sality, yirmi yılı aşkın süre faaliyette kaldı ve enfekte makinelere kötü amaçlı yükler dağıtmak için kullanıldı. Resmî açıklamalar ve haberler, ağın spam faaliyetleri, hizmet engelleme (DDoS) saldırıları, kimlik bilgisi hırsızlığı ve kripto para hırsızlığında kullanıldığını belirtiyor. 6

Rapor edilen yüklerden EggJagger, kurbanın panosundaki kripto para cüzdan adreslerini izliyor ve bunları saldırganın kontrolündeki adresle değiştiriyordu. Böylece yapılmak istenen Bitcoin veya Ethereum transferi başka bir adrese yönlendirilebiliyordu. CrowdStrike, yalnızca EggJagger’ın en az 150.000 dolar değerinde kripto para çaldığını tahmin etti. 6

Shadowserver Foundation’ın rolü neydi?

Shadowserver Foundation, çok uluslu kesintiye uğratma operasyonunda CrowdStrike ve kolluk kuvvetleriyle çalışan özel sektör ortaklarından biriydi. ABD Adalet Bakanlığı, her iki kuruluşu da Sality altyapısını hedef alan koordineli çalışmanın ortakları arasında gösterdi. 1

Bu ortaklık önemliydi; botnet operasyonları yalnızca teknik ya da yalnızca hukuki süreçler değildir. Alan adlarına el koymak yasal yetki ve uluslararası koordinasyon isterken, sinkhole işlemi uzman teknik analiz ve uygulama kapasitesi gerektirir. İki yaklaşımın birleşmesi, operatörün ele geçirilmiş ağa erişme imkânını azaltmayı hedefledi. 17

Neden risk tamamen ortadan kalkmış değil?

Botnet’in sekteye uğratılması, her enfekte cihazın temizlendiği anlamına gelmez. CrowdStrike, Sality’nin dünya genelinde 33.000’den fazla enfekte makineye kötü amaçlı yük dağıtılmasını sağladığını açıkladı. 7

Savunma ekipleri açısından enfekte bir uç nokta hâlâ olası bir erişim noktasıdır: cihazda kötü amaçlı yazılım bulunabilir, kimlik bilgisi hırsızlığına maruz kalmış olabilir veya sonraki saldırı faaliyetleri için incelenmesi gerekebilir. Sinkhole, operasyon kapsamında tarif edilen aktif komuta yolunu keser; ancak kurumların etkilenen sistemleri belirlemesi ve temizlemesi gerekir.

Uzun vadeli sonuç da kesin değil. Sality’nin operatörü kamuoyuna açıklanmış değil. Mevcut bilgiler, bu adımı tehdidin bir daha asla dönmeyeceğinin kanıtı olarak değil, bir kesintiye uğratma operasyonu olarak tanımlamayı destekliyor. Operatör yeniden erişim sağlamaya, kötü amaçlı yazılımı değiştirmeye veya alternatif altyapı kurmaya çalışabilir. 17

Sality vakasından çıkarılacak ders

Sality operasyonu, P2P botnet’lerin neden kalıcı olabildiğini ve bunları devre dışı bırakmanın neden birkaç sunucuyu kapatmaktan fazlasını gerektirdiğini gösteriyor. Merkezi olmayan tasarım, ağın yıllarca varlığını sürdürmesine yardım etti; fakat aynı eş keşif mekanizması, tersine mühendislik, sinkhole ve uluslararası hukuki işlem etkili biçimde eşgüdümlendiğinde araştırmacılara ağı izole etme yolu da sundu. 167