Una delle botnet più longeve ancora in attività ha perso il controllo della propria rete. CrowdStrike, il Federal Bureau of Investigation, il Department of Justice statunitense e un gruppo di autorità e organizzazioni internazionali hanno condotto un’operazione coordinata contro Sality, malware osservato per la prima volta nel 2003 e successivamente trasformato in un’infrastruttura criminale peer-to-peer.
L’intervento, eseguito il 31 agosto 2026 e reso pubblico il giorno successivo, ha combinato azioni tecniche sulla rete della botnet, sequestri di domini e attività di identificazione delle vittime. Secondo CrowdStrike, il risultato è la perdita, da parte dell’operatore, della capacità di inviare nuovi comandi e distribuire ulteriori programmi malevoli ai computer compromessi.
All’operazione hanno partecipato anche il Defense Criminal Investigative Service, la Shadowserver Foundation, Europol, Eurojust e le autorità di Bulgaria, Ungheria e Romania. Negli Stati Uniti e in Europa sono stati inoltre colpiti domini associati alla distribuzione dei payload, cioè i programmi che Sality installava sui dispositivi controllati. Il Department of Justice ha confermato il carattere multinazionale dell’intervento e il ruolo della collaborazione tra autorità pubbliche e operatori privati.
Una botnet costruita per sopravvivere
Una botnet è una rete di computer infetti che possono essere utilizzati da un operatore senza che i proprietari ne siano consapevoli. In un modello tradizionale, le macchine compromesse ricevono istruzioni da uno o più server centrali di comando e controllo. Individuare e sequestrare quei server può quindi interrompere almeno una parte delle attività criminali.
Sality era più difficile da neutralizzare perché utilizzava un’architettura peer-to-peer, o P2P, nella quale i sistemi infetti comunicavano direttamente tra loro. Non esisteva un unico server centrale da spegnere: i comandi e le informazioni necessarie al funzionamento della botnet potevano propagarsi attraverso la rete formata dagli stessi dispositivi compromessi.
Fino all’intervento erano ancora operative due reti indipendenti, identificate come versioni 3 e 4. Condividevano gran parte del codice ed erano attribuite allo stesso operatore, ma impiegavano versioni incompatibili del protocollo e chiavi crittografiche differenti. Questa separazione aumentava la complessità dell’operazione, perché le due reti dovevano essere affrontate come infrastrutture distinte.
La capacità di resistenza non dipendeva soltanto dalla decentralizzazione. Sality era anche un file infector polimorfico: si inseriva nei file eseguibili presenti sui sistemi e poteva diffondersi attraverso cartelle di rete condivise, dispositivi rimovibili e servizi di condivisione dei file. Il codice modificava inoltre la propria forma per rendere più difficile il riconoscimento da parte degli strumenti di sicurezza.
Questa combinazione aveva permesso alle infezioni di rigenerarsi e propagarsi con un intervento relativamente limitato da parte dell’operatore. La longevità di Sality, più che dalla sofisticazione dei singoli attacchi, derivava quindi dalla robustezza del suo modello distributivo.
Una piattaforma per distribuire altri malware
Sality non era legata a un solo tipo di frode. La sua funzione principale consisteva nella possibilità di installare ulteriori payload sulle macchine infette, trasformandola in una piattaforma utilizzabile per diverse attività criminali.
Nel corso di oltre due decenni è stata impiegata per distribuire malware, sottrarre credenziali, inviare spam, offrire proxy illegali, sfruttare altre reti e condurre attacchi DDoS, nei quali un grande numero di dispositivi genera traffico allo scopo di rendere irraggiungibile un servizio online.
Negli ultimi otto anni, secondo l’analisi di CrowdStrike, uno dei payload principali è stato EggJagger, un programma specializzato nel furto di criptovalute. Il malware controllava gli indirizzi copiati negli appunti del computer e, quando riconosceva quello di un portafoglio Bitcoin o Ethereum, lo sostituiva con un indirizzo controllato dall’operatore. Una vittima poteva quindi credere di effettuare il pagamento al destinatario corretto mentre trasferiva i fondi al criminale.
CrowdStrike stima che questa tecnica abbia consentito di sottrarre almeno 12,1 milioni di rubli, equivalenti a circa 150.000 dollari al momento delle transazioni. La stima riguarda soltanto EggJagger e non comprende gli eventuali ricavi ottenuti attraverso gli altri payload. La società sostiene inoltre che, prima dell’intervento, Sality fosse ancora in grado di distribuire nuovi programmi malevoli a oltre 15.000 sistemi infetti nel mondo. Si tratta di valutazioni prodotte dall’azienda che ha partecipato all’operazione, non di dati sottoposti a una verifica indipendente.
La botnet è stata usata anche per attacchi DDoS apparentemente legati a motivazioni personali o politiche. Tra i casi ricostruiti da CrowdStrike figurano un attacco del 2016 contro un sito finanziario in lingua araba, un’azione del febbraio 2022 contro un forum ucraino nel quale si discuteva dell’offensiva russa su Kharkiv e un attacco del 2023 contro una piattaforma russa per lo scambio di criptovalute.
Come la rete di Sality è stata rivolta contro se stessa
L’aspetto più significativo dell’operazione riguarda il modo in cui è stata neutralizzata l’architettura decentralizzata. CrowdStrike non ha cercato di sostituire un server centrale, perché quel server non esisteva. I ricercatori hanno invece studiato il protocollo di comunicazione di Sality e utilizzato le sue regole interne per modificare progressivamente la visione che ogni sistema infetto aveva della rete.
Ogni bot conservava una lista finita di super peer, macchine pubblicamente raggiungibili che costituivano la struttura portante dell’infrastruttura. Circa ogni 40 minuti il malware verificava quali peer fossero ancora disponibili. I nodi che rispondevano acquistavano reputazione, mentre quelli non raggiungibili la perdevano e potevano essere eliminati dalla lista.
La procedura di disruption ha manipolato questo meccanismo in due passaggi. Prima sono state invalidate, all’interno delle liste dei bot, le informazioni relative ai super peer autentici. Successivamente sono stati inseriti nodi controllati dai difensori, chiamati sinkhole. Un sinkhole riceve le comunicazioni provenienti dalle macchine infette senza inoltrare i comandi dell’operatore criminale; consente inoltre di osservare le connessioni, misurare l’infezione e contribuire alla notifica delle vittime.
L’attacco al protocollo è stato possibile anche perché i nodi di Sality accettavano come peer qualunque macchina pubblicamente raggiungibile capace di completare correttamente la procedura di collegamento. Non erano previsti meccanismi affidabili per autenticare l’identità dei partecipanti o per distinguere un sistema realmente infetto da un nodo introdotto dai ricercatori.
La rete, dunque, era robusta rispetto alla scomparsa di un singolo componente, ma non rispetto alla presenza di un soggetto in grado di parlarne correttamente il protocollo e alterarne le informazioni di instradamento. CrowdStrike ha sfruttato questa debolezza per separare progressivamente i bot dall’infrastruttura ancora controllata dall’operatore.
Il processo ha interessato per primi i super peer. Per le macchine collocate dietro firewall o sistemi di traduzione degli indirizzi di rete, e quindi non direttamente raggiungibili, l’isolamento avviene invece quando sono gli stessi bot a contattare i sinkhole durante i normali cicli di manutenzione delle proprie liste.
Parallelamente, le autorità hanno sequestrato domini e disattivato indirizzi utilizzati per ospitare i payload. Questa seconda azione ha ridotto il rischio che i bot ancora in possesso di vecchie istruzioni potessero scaricare programmi malevoli durante la fase di transizione.
Disruption non significa disinfezione
Il successo dell’operazione richiede una precisazione fondamentale. Interrompere il canale di comando non equivale a rimuovere Sality o gli altri malware dai computer compromessi.
Le macchine isolate non dovrebbero più ricevere nuove istruzioni o payload dall’operatore, ma il codice già installato può rimanere attivo. Ciò vale sia per Sality sia per programmi secondari distribuiti in precedenza, compresi strumenti per il furto di credenziali o criptovalute.
CrowdStrike ha pubblicato indicatori tecnici che permettono agli amministratori di individuare le infezioni, comprese regole YARA per l’analisi della memoria e riferimenti utili a riconoscere il traffico diretto verso i sinkhole. La Shadowserver Foundation sta collaborando con fornitori di connettività e gruppi nazionali di risposta agli incidenti per identificare le organizzazioni coinvolte, avvisare le vittime e favorire la bonifica.
Per le imprese, quindi, l’operazione riduce la capacità offensiva dell’avversario ma non sostituisce le normali attività di incident response. I dispositivi segnalati devono essere isolati, analizzati e ripuliti; occorre inoltre verificare se siano state compromesse credenziali, installati altri malware o sottratti dati.
Questa distinzione evita anche di interpretare il takedown come una cancellazione definitiva del rischio. L’infrastruttura attuale è stata resa inerte, ma restano da valutare la possibilità che l’operatore tenti di costruire una nuova rete e la persistenza di copie del malware su sistemi non ancora bonificati.
La cybersecurity passa dalla difesa alla neutralizzazione attiva
Il caso Sality segnala un cambiamento più ampio nel mercato della sicurezza informatica. Le piattaforme enterprise sono nate soprattutto per individuare comportamenti sospetti, bloccare file malevoli e aiutare le aziende a rispondere agli incidenti. Le operazioni contro infrastrutture criminali aggiungono un ulteriore livello: intervenire direttamente sui meccanismi utilizzati dall’avversario, prima che possano produrre nuove vittime.
Per realizzare interventi di questo tipo non basta un sistema di rilevamento. Servono intelligence sulle minacce, reverse engineering del malware, conoscenza approfondita dei protocolli, infrastrutture globali di osservazione e una collaborazione giuridica capace di operare in più Paesi. I fornitori di cybersecurity che dispongono di queste risorse possono assumere un ruolo sempre più operativo nei rapporti con autorità, provider Internet e gruppi di risposta agli incidenti.
Non significa, tuttavia, che le aziende private possano agire autonomamente contro qualsiasi infrastruttura ostile. La manipolazione di reti distribuite e il sequestro di domini coinvolgono sistemi collocati in giurisdizioni differenti e richiedono autorizzazioni, coordinamento internazionale e una chiara attribuzione delle responsabilità. La capacità tecnica di neutralizzare una rete deve essere accompagnata da un quadro legale e da meccanismi di controllo altrettanto solidi.
Sul piano competitivo, questa evoluzione potrebbe favorire i grandi operatori dotati di telemetria globale, laboratori di ricerca e relazioni consolidate con le istituzioni. I fornitori più piccoli potrebbero invece contribuire attraverso competenze specialistiche, analisi di singole famiglie di malware o dati raccolti in ambiti geografici e tecnologici specifici. La collaborazione, più che la sola scala aziendale, rimane infatti uno degli elementi determinanti.
Verso una disruption più automatizzata
Nel medio periodo, il principio applicato contro Sality potrebbe estendersi oltre le operazioni costruite manualmente intorno a una singola botnet. Sistemi di intelligenza artificiale e strumenti di automazione potrebbero accelerare l’analisi dei protocolli criminali, la correlazione dei segnali, l’identificazione delle infrastrutture e l’aggiornamento dei sinkhole.
Si profila così il passaggio da una difesa prevalentemente passiva a una forma di disruption programmabile, nella quale rilevamento, risposta e neutralizzazione tendono ad avvicinarsi. La prospettiva resta però condizionata da limiti sostanziali: un errore di attribuzione o una manipolazione non adeguatamente controllata potrebbe colpire sistemi legittimi, compromettere prove investigative o oltrepassare confini giuridici.
Per questa ragione l’automazione potrà probabilmente assistere gli analisti e ridurre i tempi operativi, ma difficilmente eliminerà la necessità di supervisione umana, autorizzazioni giudiziarie e cooperazione internazionale.
La neutralizzazione di Sality dimostra comunque che l’assenza di un centro di comando non rende invulnerabile una botnet. La stessa logica distribuita che le ha consentito di sopravvivere per 23 anni conteneva una debolezza permanente: la fiducia accordata ai partecipanti della rete. CrowdStrike e le autorità l’hanno trasformata nel punto d’ingresso per isolarne i nodi.
Il risultato è rilevante, ma non definitivo. L’operatore ha perso il controllo dell’infrastruttura; le vittime, invece, devono ancora liberare i propri sistemi dal malware. È proprio in questa distanza tra neutralizzazione della rete e bonifica dei dispositivi che si misura sia il successo dell’operazione sia il lavoro ancora necessario.
