Uma operação internacional apoiada pela Europol conseguiu interromper a infraestrutura da botnet Sality, uma das mais antigas redes de computadores comprometidos conhecidas, que terá estado ativa durante mais de duas décadas. A ação, realizada a 31 de agosto e liderada pelas autoridades norte-americanas, envolveu forças de segurança de vários países e parceiros privados especializados em cibersegurança.
No seu pico, a Sality terá permitido ao operador controlar até um milhão de máquinas infetadas em todo o mundo. Ao longo da sua atividade, mais de 11 milhões de endereços IP únicos foram associados à infraestrutura da botnet, que podia ser utilizada para distribuir cargas maliciosas para dispositivos comprometidos.
A operação contou com a participação das autoridades da Bulgária, Hungria, Roménia e Estados Unidos, com o apoio da Europol, Eurojust, CrowdStrike e Shadowserver Foundation.
Uma infraestrutura descentralizada
A Sality apresentava uma particularidade que tornou o seu desmantelamento especialmente complexo: funcionava através de uma arquitetura peer-to-peer (P2P). Ao contrário das botnets tradicionais, que dependem de um servidor central de comando e controlo, neste modelo os próprios computadores infetados comunicam diretamente entre si.
Esta estrutura descentralizada torna as botnets P2P mais resistentes às operações de desmantelamento, uma vez que a interrupção de determinados componentes não implica necessariamente a queda de toda a rede.
A Europol vinha a apoiar os esforços internacionais para identificar e eliminar a infraestrutura associada à Sality desde 2017. Nas semanas que antecederam a operação, a cooperação entre os diferentes parceiros foi intensificada, com reuniões operacionais semanais destinadas a coordenar as ações nos vários países.
Sinkholing interrompe comunicações da botnet
Um dos elementos centrais da operação foi uma ação de sinkholing à escala internacional. A técnica permitiu redirecionar as comunicações provenientes das máquinas infetadas para longe da infraestrutura controlada pelos operadores da botnet.
Com esta operação, os dispositivos comprometidos foram isolados da rede criminosa, tornando inoperacional o seu canal de comando.
A operação beneficiou ainda da colaboração entre autoridades e empresas privadas. Através do Cyber Intelligence Extension Programme (CIEP) da Europol, a CrowdStrike e a Shadowserver Foundation disponibilizaram conhecimentos técnicos e capacidade de análise da infraestrutura da botnet.
O Centro Europeu de Cibercrime da Europol (EC3), em conjunto com a Joint Cybercrime Action Taskforce, apoiou a partilha e análise de informação de ciberameaças e a coordenação operacional entre os vários intervenientes.
Para as autoridades, o caso demonstra a importância da cooperação internacional e público-privada no combate a infraestruturas criminosas descentralizadas, particularmente quando estas permanecem ativas durante longos períodos e atravessam múltiplas jurisdições.
