Botnetul Sality, activ de peste două decenii, perturbat într-o operațiune internațională susținută de Europol

Botnetul Sality, o infrastructură informatică utilizată de infractori pentru distribuirea de programe malițioase către computere infectate, a fost perturbat în cadrul unei operațiuni internaționale coordonate de autoritățile americane și susținute de Europol. Rețeaua peer-to-peer (P2P) a fost asociată până în prezent cu peste 11 milioane de adrese IP unice din întreaga lume.

Operațiunea coordonată a avut loc la 31 august 2026 și a vizat o rețea despre care autoritățile consideră că a funcționat timp de peste 20 de ani. La apogeu, botnetul le-ar fi oferit operatorilor acces la până la un milion de dispozitive infectate la nivel mondial.

Acțiunea a implicat autorități din Bulgaria, Ungaria, România și Statele Unite, cu sprijinul Europol și al partenerilor din sectorul privat CrowdStrike și Shadowserver Foundation.

Pentru perturbarea rețelei a fost utilizată o operațiune de tip „sinkholing” P2P, prin care comunicațiile dispozitivelor infectate au fost redirecționate de la infrastructura infracțională. Măsura a izolat dispozitivele compromise de botnet și a făcut inoperabil canalul de comandă al operatorului.

Spre deosebire de botneturile care utilizează un server central tradițional de comandă și control, rețelele P2P precum Sality permit dispozitivelor infectate să comunice direct între ele. Această structură descentralizată le face mai rezistente și mai dificil de eliminat, deoarece afectarea unor componente individuale nu duce în mod necesar la dezactivarea întregii rețele.

Identificarea și perturbarea infrastructurii Sality au necesitat cooperare internațională desfășurată pe parcursul mai multor ani. Din 2017, Europol a sprijinit autoritățile de aplicare a legii din mai multe țări în identificarea și eliminarea infrastructurii asociate botnetului, pe măsură ce diferite componente ale rețelei erau descoperite în jurisdicții distincte.

În săptămânile premergătoare operațiunii, cooperarea s-a intensificat, partenerii organizând întâlniri operaționale săptămânale pentru coordonarea acțiunilor. Europol a sprijinit implicarea autorităților din Bulgaria, Ungaria și România și coordonarea măsurilor împotriva infrastructurii botnetului în jurisdicțiile respective.

Operațiunea s-a bazat și pe cooperarea dintre autoritățile de aplicare a legii și partenerii privați, care au pus în comun informații de securitate cibernetică, capacități de investigare și expertiză tehnică. Prin Cyber Intelligence Extension Programme (CIEP) al Europol, CrowdStrike și Shadowserver Foundation au colaborat cu autoritățile, oferind expertiză tehnică și analize ale infrastructurii.

Centrul European de Combatere a Criminalității Informatice (EC3) al Europol a sprijinit schimbul și analiza informațiilor privind amenințările cibernetice. Împreună cu Joint Cybercrime Action Taskforce, EC3 a organizat reuniuni operaționale între partenerii implicați, contribuind la stabilirea unei imagini comune asupra botnetului și infrastructurii sale și la elaborarea unei strategii coordonate de perturbare.

Din partea României a participat Poliția Română, prin Direcția de Combatere a Criminalității Organizate. La operațiune au mai participat autoritățile de combatere a criminalității organizate din Bulgaria, Departamentul de Criminalitate Informatică al Biroului Național de Investigații din Ungaria, precum și Departamentul de Justiție al Statelor Unite, FBI și Defense Criminal Investigative Service.

Operațiunea a beneficiat, de asemenea, de implicarea Eurojust și EMPACT, platforma europeană multidisciplinară împotriva amenințărilor criminale, care sprijină cooperarea între autoritățile naționale, instituțiile europene și partenerii internaționali pentru combaterea criminalității organizate și grave la nivel transfrontalier.