Sality 僵尸网络被中断：执法部门与 CrowdStrike 如何反制其 P2P 架构

2026年8月31日，一项跨国公私协作行动中断了已活跃逾20年的 Sality 僵尸网络。行动结合了依法扣押域名与点对点（P2P）“下沉洞”（sinkhole）技术：前者移除运营者用于控制受感染设备、投放恶意载荷的部分基础设施，后者则把中毒电脑的通信导向受控服务器，使其脱离攻击者的控制通道。参与方包括美国司法部、联邦调查局（FBI）、美国国防部刑事调查局（DCIS），以及保加利亚、匈牙利和罗马尼亚的执法部门；CrowdStrike 和 Shadowserver Foundation 也参与其中。167

关键不只是“关站”，而是切断节点之间的联系

美国执法部门扣押了与 Sality 关联、用于控制受感染设备及分发恶意载荷的域名；保加利亚、匈牙利和罗马尼亚也在各自司法辖区处置了其他相关基础设施。16

但仅扣押域名还不足以解决问题。Sality 是 P2P 僵尸网络：受感染设备能够相互交换其他节点的信息，并非完全依赖少量固定的命令与控制（C2）服务器。即使个别服务器或域名被移除，节点仍可能彼此发现、维持网络连接，这正是它长期存续的原因之一。67

因此，CrowdStrike 的对抗攻击者行动团队与执法及行业伙伴同步开展 P2P 下沉洞行动，目标是隔离受感染设备，并使运营者原有的指挥通信通道失效。17

P2P 的韧性，反而成了可被利用的突破口

CrowdStrike 对 Sality 的 P2P 通信进行了逆向工程，重点针对“节点列表”机制——也就是受感染设备借以寻找其他受感染设备的信息。研究人员发现了这类信息在接收和传播过程中的弱点，并向网络植入虚假的节点信息。613

结果是，受感染系统会转而连接由行动方控制的下沉洞基础设施，而不是攻击者的网络。这样一来，运营者就无法再通过现有网络下发新的下载指令或投送额外恶意载荷。67

这也是本次行动格外复杂的原因：调查人员面对的不是一个只要关闭中心服务器就会瘫痪的网络，而是由大量受感染设备自行传播网络信息的分布式系统。要产生效果，域名扣押等法律行动必须与能压过其节点发现机制的技术干预同步推进。167

Sality 曾被用于什么？

公开报道和官方说明显示，Sality 在20多年间被用于向受感染设备投放恶意载荷，并涉及垃圾邮件活动、分布式拒绝服务（DDoS）攻击、凭证窃取和加密货币盗窃。6

其中一个被报道的载荷 EggJagger 会监视受害者剪贴板中的加密货币钱包地址，并将其替换为攻击者控制的地址，可能导致原本计划转出的比特币或以太坊被转入错误账户。CrowdStrike 估计，仅 EggJagger 就至少窃取了15万美元的加密货币。6

Shadowserver Foundation 的作用

Shadowserver Foundation 是此次跨国中断行动的私营部门合作伙伴之一，与 CrowdStrike 和多个执法机构共同参与。美国司法部在公告中将两家机构列为协调行动的协作方。1

僵尸网络处置从来不只是技术问题，也不只是法律问题：扣押域名需要司法授权和跨境协调；下沉洞则依赖专业的技术分析与行动执行。两者配合，才能更有效地压缩运营者重新接触受感染网络的空间。17

网络被“中断”，不代表中毒设备已恢复安全

Sality 被中断，并不等于每一台受感染电脑都已完成清除。CrowdStrike 表示，该僵尸网络曾帮助运营者向全球超过3.3万台受感染设备分发恶意载荷。7

对企业和机构的安全团队而言，仍然中毒的终端可能遗留恶意程序，也可能已经暴露过凭证或被用于后续入侵。下沉洞行动切断的是本次行动所针对的活跃指挥路径；识别受影响设备、排查暴露范围并完成清除和修复，仍是防守方必须完成的工作。

长期结果也尚无定论。Sality 的运营者尚未被公开确认身份，因此现有证据支持将此事描述为“中断”，而非证明该威胁永远不会重现。运营者仍可能尝试重新获取控制权、修改恶意软件，或搭建替代基础设施。17

Sality 留下的启示

Sality 的案例说明，P2P 僵尸网络之所以顽固，是因为它们不把命运完全押在少数服务器上；而要瓦解它们，也不能只靠关停几个域名。不过，同一套节点发现机制也可能在逆向工程、下沉洞技术与国际法律协作紧密配合时，成为隔离网络的切入点。167