CrowdStrike y el FBI están desmantelando Sality después de 23 años.

      Sality ha estado infectando computadoras desde 2003, lo que la hace más antigua que el iPhone, Facebook y gran parte de la industria de la seguridad que ahora trabaja para desmantelarla. Las fuerzas del orden de EE. UU. y CrowdStrike comenzaron a desmantelarla esta semana, informó Reuters.

      Durante más de dos décadas, la operación se ha utilizado para delitos cibernéticos bastante ordinarios. Las máquinas infectadas se han utilizado para enviar spam, lanzar ataques de denegación de servicio distribuidos y robar criptomonedas, con los criminales cambiando entre ellos a medida que diferentes oportunidades se volvían rentables.

      La forma en que las autoridades la desmantelaron es más inusual. CrowdStrike realizó ingeniería inversa de la botnet, identificó debilidades en su estructura y luego la sembró con información falsa que convenció a las máquinas infectadas de desconectarse de su controlador.

      “Esta fue la toma de control de botnet más compleja que hemos realizado”, dijo Tillmann Werner, un investigador de CrowdStrike. La compañía anunció la operación en su cumbre de inteligencia de amenazas Day Zero en Las Vegas.

      Sality logró sobrevivir tanto tiempo en parte debido a cómo fue diseñada. Se propagó infectando archivos ejecutables en lugar de depender de un único servidor de comando, mientras que su estructura de pares significaba que no había una máquina central que pudiera simplemente desconectarse para derribar el resto.

      Las autoridades de EE. UU. manejaron el lado legal de la operación. El FBI y el Departamento de Justicia incautaron los dominios web utilizados para controlar las máquinas infectadas, eliminando parte de la infraestructura mientras CrowdStrike trabajaba para romper las conexiones restantes.

      “Los cibercriminales, las botnets y el malware son un peligro claro y presente”, dijo Bill Essayli, primer asistente del fiscal de EE. UU. David Watson de la Fundación Shadowserver describió a Sality como una puerta de entrada a un gran número de organizaciones.

      Eso ayuda a explicar por qué una botnet de 23 años todavía vale la pena desmantelar. El valor de Sality no era necesariamente lo que podía hacer por sí misma, sino el acceso que proporcionaba a redes comprometidas, que luego podían ser vendidas o utilizadas para otros ataques.

      El problema no se limita a los países nombrados en el anuncio. Las infecciones antiguas siguen siendo un riesgo en Europa también, donde los sistemas industriales, los servidores de pequeñas empresas y las máquinas del sector público aún pueden estar ejecutando software lo suficientemente antiguo como para ser vulnerable a malware escrito en 2003.

      La longevidad de una infección dice tanto sobre las víctimas como sobre los atacantes. Las máquinas pueden permanecer comprometidas durante años porque nadie lo nota, nadie las parchea, o el software sigue funcionando en sistemas que sus propietarios rara vez piensan en ellos.

      Las eliminaciones como esta no necesariamente conducen a arrestos, y ninguno ha sido anunciado en este caso. Cuando los operadores están fuera del alcance de los tribunales que llevan a cabo la acción, incautar infraestructura y cortar conexiones son algunas de las pocas opciones disponibles.

      Las empresas de seguridad privada que asumen un papel más activo también se están volviendo cada vez más comunes. EE. UU. ahora ha autorizado a empresas privadas a llevar a cabo operaciones cibernéticas en el extranjero, y el uso de datos falsos por parte de CrowdStrike dentro de una red criminal se sitúa cerca de esa frontera en evolución entre la ciberseguridad y las operaciones ofensivas.

      No hay garantía de que la eliminación sea permanente. Las botnets han sido desmanteladas y reconstruidas antes, y las computadoras que se están desconectando hoy aún contienen cualquier vulnerabilidad que permitió que Sality se instalara en ellas en primer lugar.

      La técnica de datos falsos es particularmente interesante porque podría tener aplicaciones más amplias. Una red distribuida no necesariamente tiene que ser rota a través de cifrado o fuerza bruta si sus nodos pueden ser persuadidos de que el controlador en el que confían ya no está disponible.

      Ni el número de máquinas infectadas ni las pérdidas vinculadas a la operación han sido divulgadas. Después de más de dos décadas, ambos darían una mejor idea de cuán grande se volvió Sality.

      La eliminación también se produce en un momento en que las amenazas cibernéticas impulsadas por IA están dominando la conversación, desde la advertencia del FSB a los ministros de finanzas del G20 hasta el relato de OpenAI sobre lo que sus últimos modelos pueden encontrar. Sality es un recordatorio de que los problemas más antiguos no han desaparecido solo porque los más nuevos están recibiendo más atención.

      Una botnet no tiene que ser particularmente sofisticada para sobrevivir durante 23 años. Solo tiene que permanecer desapercibida, lo cual sigue siendo sorprendentemente fácil.