България участва в мащабна международна операция срещу ботмрежата Sality и свързаната с нея инфраструктура, използвана за киберпрестъпления повече от две десетилетия. В действията се включиха още Съединените щати, Унгария и Румъния, съобщиха Министерството на правосъдието на САЩ и „Ройтерс“.
Международно разследване
От българска страна съдействие е оказала Главна дирекция „Борба с организираната престъпност“. В разследването и координацията са участвали още Федералното бюро за разследване на САЩ, Службата за криминални разследвания към Министерството на отбраната на САЩ, правоохранителни органи от Унгария и Румъния, както и Европол и Евроюст.
В операцията е участвал и частният сектор чрез компанията за киберсигурност CrowdStrike и фондация Shadowserver.
Като част от действията американските власти са иззели интернет домейни, свързани със Sality и разположени в САЩ. Правоохранителните органи в България, Унгария и Румъния са предприели действия срещу други домейни, използвани от мрежата и хоствани в Европа.
Какво е Sality
Sality е засечена за първи път през 2003 г. и е определяна като една от най-дълго функциониращите киберпрестъпни операции в интернет. Според американското Министерство на правосъдието тя е базирана в Русия.
Зловредният софтуер заразява компютри, които след това стават част от peer-to-peer ботмрежа. Собствениците им обикновено не знаят, че устройствата са компрометирани и могат да бъдат управлявани от оператора на Sality.
Контролираните по този начин машини са използвани за разпространение на спам, извършване на DDoS атаки и кражби на криптовалута.
Децентрализираната структура
Архитектурата на Sality е децентрализирана, като заразените устройства могат да комуникират директно помежду си и да обменят команди. Това е направило ботмрежата особено устойчива на опитите на правоохранителните органи да я неутрализират.
При международната операция CrowdStrike е използвала особеностите на мрежата срещу нейния оператор. В системата е подадена невярна информация, след което заразените устройства са прекъснали връзката си с човека, който ги контролира.
„Това беше най-сложното превземане на ботмрежа, което някога сме правили“, заяви изследователят на CrowdStrike Тилман Вернер.
По думите му Sality е била изградена така, че да издържа на опити за разбиване или превземане, което обяснява защо е успяла да функционира толкова дълго.
Проверка на заразени устройства
Shadowserver работи с интернет доставчици и екипи за реакция при инциденти с компютърната сигурност, за да бъдат открити заразените устройства, да бъдат уведомени жертвите и да се предприемат действия за отстраняване на зловредния софтуер.
Американските власти не са разкрили самоличността на човека, който стои зад Sality. След разбиването на инфраструктурата експертите наблюдават дали операторът ще опита да си върне контрола или да изгради ботмрежата отново.
