Una operación coordinada entre autoridades de Estados Unidos, organismos europeos y CrowdStrike logró desactivar Sality, una de las redes de ciberdelito más antiguas de internet. Activa desde 2003 y manejada desde Rusia, había infectado más de 15.000 computadoras en distintos países para robar criptomonedas, enviar spam y dejar sitios fuera de servicio.
Para desarmarla, las autoridades tomaron el control de los dominios que Sality utilizaba para distribuir archivos maliciosos. Al mismo tiempo, CrowdStrike aisló las computadoras infectadas para impedir que el responsable siguiera enviándoles instrucciones. Según Reuters, el procedimiento comenzó el lunes 31 de agosto durante Day Zero, un encuentro organizado por la empresa en Las Vegas, y se puso en marcha frente a una audiencia en vivo.
En Estados Unidos participaron el Departamento de Justicia, el FBI y el Servicio de Investigación Criminal del Pentágono. Bulgaria, Hungría y Rumanía hicieron lo mismo con los dominios alojados en Europa. Shadowserver Foundation, por su parte, ayudará a localizar las computadoras que siguen infectadas para avisar a sus dueños y eliminar el malware.
Una amenaza que se mantuvo activa desde 2003
Sality era una botnet, es decir, una red formada por computadoras infectadas que podían recibir órdenes sin que sus dueños lo supieran. A diferencia de otras estructuras de este tipo, no dependía de un servidor central. Los equipos se comunicaban entre sí y compartían instrucciones, por lo que bloquear una dirección o desconectar una máquina no alcanzaba para frenarla.
Hasta esta semana seguían funcionando dos versiones, conocidas como 3 y 4. Las dos pertenecían al mismo responsable y partían del mismo programa, pero no podían comunicarse entre sí. El malware se ocultaba en archivos y se propagaba a través de carpetas compartidas, pendrives y servicios de intercambio de archivos.
Una vez dentro de una computadora, descargaba otros programas preparados para robar credenciales, repartir spam, explotar redes o ejecutar ciberataques. Durante los últimos ocho años, su principal herramienta para generar ingresos fue EggJagger, que detectaba direcciones de billeteras de Bitcoin o Ethereum copiadas por las víctimas y las reemplazaba por otras controladas por el delincuente.
El informe de la compañía estima que este mecanismo permitió robar al menos 12,1 millones de rublos, unos US$ 150.000 en criptomonedas. El valor de los fondos que permanecían sin gastar llegó a rozar los 147 millones de rublos en enero de 2025. La firma aclaró que ese cálculo no incluye los ingresos obtenidos mediante las demás actividades de la botnet.
Sality también fue usada para dejar sitios fuera de servicio. El 25 de febrero de 2022, un día después del inicio de la invasión rusa a Ucrania, atacó un foro donde los usuarios compartían información sobre el avance militar hacia Járkov. Antes, en 2016, había hecho lo mismo con un foro financiero en árabe y, en 2023, con una plataforma rusa de criptomonedas.
Cómo lograron dejarla sin control
El mismo sistema que había mantenido activa a Sality durante más de 20 años terminó facilitando su caída. Cada computadora infectada guardaba una lista de otros equipos con los que debía comunicarse y la actualizaba cada 40 minutos. Sin embargo, la red no comprobaba quién estaba detrás de cada conexión.
Los investigadores aprovecharon esa falla para hacerse pasar por computadoras infectadas. Una vez adentro, borraron los contactos vinculados al ciberdelincuente y los reemplazaron por equipos controlados por CrowdStrike. De esta manera, las máquinas dejaron de recibir sus órdenes y fueron quedando aisladas una tras otra.
La maniobra comenzó con las computadoras que sostenían la mayor parte de las comunicaciones, y después se extendió al resto, a medida que intentaban buscar nuevos contactos. Al mismo tiempo, las fuerzas de seguridad bloquearon las direcciones de internet desde las que Sality distribuía sus programas maliciosos.
Así, el responsable perdió el contacto con las más de 15.000 computadoras comprometidas. De todos modos, el malware instalado sigue activo y debe eliminarse de cada equipo. La identidad de su creador todavía no fue revelada y el Departamento de Justicia de Estados Unidos solo informó que la operación se encuentra en Rusia. Ahora los investigadores buscan determinar si intentará recuperar la red, reconstruirla o abandonar una operación que sostuvo durante más de dos décadas.