България участва в международна операция срещу руската ботмрежа Sality

Разбиха Sality: България, САЩ и европейски партньори срещу кибермрежа, действала 20 години

България е участвала в мащабна международна операция по разбиването на ботмрежата Sality и свързаната с нея инфраструктура, използвана за киберпрестъпления повече от две десетилетия. В действията са се включили още Съединените щати, Унгария и Румъния, съобщиха Министерството на правосъдието на САЩ и „Ройтерс“.

ГДБОП участва в международното разследване

От българска страна съдействие при операцията е оказала Главна дирекция „Борба с организираната престъпност“. В разследването и координацията са участвали още американското Федерално бюро за разследване, Службата за криминални разследвания към Министерството на отбраната на САЩ, правоохранителни органи от Унгария и Румъния, както и Европол и Евроюст.

Частният сектор е представен от компанията за киберсигурност CrowdStrike и фондация Shadowserver.

Като част от операцията американските власти са иззели интернет домейни, свързани със Sality и разположени в САЩ. Правоохранителните органи в България, Унгария и Румъния са предприели действия срещу други домейни, използвани от мрежата и хоствани в Европа.

Какво представлява ботмрежата Sality

Sality е засечена за първи път през 2003 г. и се определя като една от най-дълго функциониращите киберпрестъпни операции в интернет. Според американското Министерство на правосъдието тя е базирана в Русия.

Зловредният софтуер заразява компютри, които след това стават част от т.нар. peer-to-peer ботмрежа. Собствениците им обикновено не знаят, че устройствата им са компрометирани и могат да бъдат управлявани от оператора на Sality.

Контролираните по този начин машини са използвани за различни престъпни дейности – разпространяване на спам, извършване на DDoS атаки и кражби на криптовалута.

Децентрализираната архитектура е затруднявала разследващите

Архитектурата на Sality е била децентрализирана – заразените устройства са можели да комуникират директно помежду си и да обменят команди. Именно това е направило ботмрежата особено устойчива на опитите на правоохранителните органи да я неутрализират.

При международната операция CrowdStrike е успяла да използва особеностите на самата мрежа срещу нейния оператор. В системата е била подадена невярна информация, вследствие на което заразените устройства са прекъснали връзката си с човека, който ги контролира.

„Това беше най-сложното превземане на ботмрежа, което някога сме правили“, заяви изследователят на CrowdStrike Тилман Вернер.

По думите му Sality е била изградена така, че да издържа на опити за разбиване или превземане, което обяснява защо е успяла да функционира толкова дълго.

Търсят заразени устройства и уведомяват жертвите

Shadowserver от своя страна работи с интернет доставчици и екипи за реакция при инциденти с компютърната сигурност, за да бъдат открити заразените устройства, да бъдат уведомени жертвите и да се предприемат действия за отстраняване на зловредния софтуер.

Американските власти не са разкрили самоличността на човека, който стои зад Sality. След разбиването на инфраструктурата експертите наблюдават дали операторът ще направи опит да си върне контрола или да изгради ботмрежата отново.