Una de las redes de 'bots' más antiguas de Internet y una de las amenazas más persistentes ha sido desmantelada tras más de dos décadas en la red, con una operación que ha vuelto en su contra la misma arquitectura que en todo este tiempo ha sido su principal fortaleza.
Sality es una red de 'bots' 'peer-to-peer' que, desde 2003, ha proporcionado la capacidad de distribuir cargas maliciosas a más de 15.000 equipos infectados en todo el mundo, lo que la ha llevado a participar en campañas que abarcan desde el robo de credenciales, la distribución de spam, los servicios de proxy, la explotación de redes y los ataques DDoS.
Esta red carecía de infraestructura tradicional de mando y control y, en su lugar, los equipos infectados se comunicaban directamente entre sí para recibir instrucciones o cargas maliciosas, operando bajo un enfoque descentralizado que ha dificultado los esfuerzos por desmantelarla.
Sin embargo, ha sido precisamente esa arquitectura la que finalmente ha permitido desmantelar una de las amenazas más persistentes, mediante una operación de interrupción que aisló a todos los nodos de la red, impidiendo que los controle, como ha informado la firma de ciberseguridad CrowdStrike en un comunicado.
Para ello, se recurrió a la manipulación de listas de pares, aprovechando que cualquier máquina disponible puede unirse a la red sin autenticación siempre que respondiera correctamente al protocolo de enlace P2P.
La lista de pares se refiere a que cada equipo infectado ('bot') mantiene en su memoria una lista finita de direcciones IP de otros 'bots' directamente accesibles en Internet, que revisa de manera periódica para verificar qué superpares siguen en línea y pedir actualizaciones de red.
Lo que hicieron los investigadores fue modificar o falsificar las respuestas de verificación para marcar a los superpares legítimos del atacante como 'inválidos' o 'fuera de línea', lo que obligó al 'bot' a eliminar progresivamente a sus pares reales de su lista interna.
Y medida que la lista se fue vaciando, se inyectaron entradas controladas por los investigadores, conocidas como sinkholes o sumideros, que los 'bots' guardaron creyendo que eran nuevos superpares legítimos. Los 'sinkholes' responden a las peticiones del 'bot' manteniéndolo conectado a un canal seguro pero inerte, sin enviarle ninguna orden del atacante.
Esta operación se ha compartido en la conferencia Day Zero Threat Research, y en ella han particiado la firma de seguridad CrowdStrike, el Departamento de Justicia de Estados Unidos el FBI, el Servicio de Investigación Criminal de Defensa y la Fundación Shadowserver, y con el apoyo de Europol y las fuerzas del orden de Francia, Bulgaria y Rumanía.
