Sality perde il controllo, ma gli host restano infetti
La rete Sality, attiva da 23 anni, è stata interrotta in un’operazione congiunta di forze dell’ordine e partner privati che ha tagliato il controllo degli operatori su oltre 15.000 macchine. Il punto non è solo il sequestro dell’infrastruttura: i difensori hanno sfruttato la fiducia del botnet nei propri peer per isolarlo dall’interno.
Sality accettava i peer della rete senza verificare chi fossero davvero. CrowStrike ha manipolato la peer list, rimosso i super peer e inserito sinkhole controllati dai difensori, così le macchine infette hanno smesso di trovare i nodi dell’operatore e hanno continuato a parlare solo con la controparte difensiva. Questo spezza la consegna di nuovi payload e il coordinamento centrale, ma non pulisce gli host già compromessi.
Per chi gestisce reti con infezioni Sality, la lezione è chiara: una botnet P2P può essere neutralizzata senza abbattere un C2 centrale, ma il parco macchine infetto resta un problema di bonifica. Finché gli host non vengono ripuliti, l’esposizione sopravvive anche dopo il sinkhole.