SUA, România, Bulgaria și Ungaria au destructurat botnet-ul Sality, operat din Rusia cu ajutorul unui parteneriat internațional

Statele Unite ale Americii, împreună cu România, Ungaria și Bulgaria, au desfășurat, în colaborare cu partenerii privați din industrie CrowdStrike și Shadowserver Foundation, o operațiune internațională pentru eliminarea botnet-ului și a infrastructurii malware-ului Sality, asociate Rusiei. Prin această infrastructură au fost comise mai multe infracțiuni cibernetice.

Operațiunea multinațională la care au participat cele patru state a fost anunțată și printr-o declarație specială a Departamentului de Justiție al Statelor Unite. Acțiunea reprezintă un efort menit să sprijine primul pilon al Strategiei Cibernetice pentru America a președintelui Trump, intitulat „Modelarea comportamentului advers”.

Departamentul de Justiție precizează că autoritățile federale de aplicare a legii au colaborat cu sectorul privat pentru identificarea și perturbarea rețelelor rău intenționate. Totodată, parteneriatul a urmărit extinderea capacităților naționale și modelarea comportamentului advers prin degradarea instrumentelor și infrastructurii utilizate de atacatori.

„Infractorii cibernetici, botnet-urile și malware-ul reprezintă un pericol clar și prezent pentru securitatea și economia națiunii noastre. Acest efort reușit de a elimina botnet-ul Sality arată că, prin colaborare, sectorul public și cel privat pot fi o forță puternică pentru bine”, a declarat prim-procurorul adjunct al Statelor Unite, Bill Essayli.

Potrivit directorului adjunct responsabil de Biroul FBI din Los Angeles, cooperarea internațională și parteneriatul cu industria contribuie la intensificarea eforturilor de neutralizare a amenințării reprezentate de botnet-ul Sality.

„Această colaborare unică între autoritățile internaționale de aplicare a legii și partenerii din sectorul privat nu face decât să îmbunătățească capacitățile de securitate cibernetică ale FBI și eforturile noastre de a neutraliza amenințarea reprezentată de botnet-ul Sality”, a declarat Patrick Grandy, director adjunct responsabil al Biroului FBI din Los Angeles.

„FBI-ul va continua să colaboreze cu partenerii noștri pentru a preveni alte atacuri cibernetice și furturi de la victimele din Statele Unite”, a adăugat el.

La rândul său, Kenneth DeChellis, reprezentant al Biroului Inspectorului General al Serviciului de Investigații Criminale pentru Apărare (DCIS), a precizat că amenințări precum botnet-ul Sality reprezintă o prioritate maximă pentru autoritățile americane.

„Protejarea integrității Rețelei Informaționale a Departamentului Apărării de amenințări clare precum botnet-ul Sality este o prioritate maximă pentru noi”, a declarat agentul special responsabil Kenneth DeChellis de la Biroul Inspectorului General al Serviciului de Investigații Criminale pentru Apărare (DCIS), Biroul Cibernetic.

„Anunțul de astăzi este rezultatul angajamentului comun și al parteneriatului de lungă durată dintre autoritățile internaționale de aplicare a legii și sectorul privat”, a mai spus DeChellis.

Începând din 2003, botnet-ul Sality a instalat software rău intenționat, cunoscut drept malware, pe dispozitive compromise. Aceste programe au permis furtul de criptomonede și desfășurarea unor atacuri cibernetice asupra victimelor din Statele Unite și din alte țări, potrivit informațiilor prezentate de Departamentul de Justiție.

Calculatoarele infectate cu Sality făceau parte dintr-o rețea de boți peer-to-peer (P2P). Aceasta era formată din computere, fiecare reprezentând un „bot”, infectate cu malware-ul Sality și controlate de operatorii rețelei.

O rețea de boți P2P este descentralizată, iar dispozitivele infectate comunică direct între ele pentru a transmite și partaja comenzi. În cele mai multe cazuri, proprietarii calculatoarelor afectate nu știau că dispozitivele lor fuseseră preluate ilegal și transformate în boți de către operatorii Sality.

Luni, echipa de Operațiuni Contra-Adversari a CrowdStrike, în colaborare cu Departamentul de Justiție, FBI, DCIS, autoritățile internaționale de aplicare a legii și partenerii din industria privată, a executat o operațiune de tip sinkhole peer-to-peer. Acțiunea a fost urmată de coordonarea măsurilor de perturbare a rețelei de boți Sality.

În cadrul operațiunii internaționale, Departamentul de Justiție, FBI și DCIS au confiscat domenii asociate cu Sality în Statele Unite. Partenerii internaționali de aplicare a legii din Bulgaria, Ungaria și România au intervenit asupra altor domenii legate de Sality, găzduite în Europa.

În paralel cu aceste acțiuni, partenerul privat Shadowserver Foundation colaborează cu furnizorii de servicii de internet și cu echipele de răspuns la incidente de securitate informatică (CSIRT). Scopul este identificarea infecțiilor, notificarea victimelor și sprijinirea procesului de remediere a dispozitivelor compromise.

Anchetatori și procurori din mai multe jurisdicții au oferit asistență crucială în cadrul operațiunii. Printre instituțiile implicate se numără Direcția Generală de Combatere a Criminalității Organizate din Bulgaria, Biroul Național de Investigații, Departamentul de Criminalitate Cibernetică din Ungaria, precum și Poliția Română, Direcția de Combatere a Criminalității Organizate și Unitatea Centrală de Criminalitate Cibernetică din România.

La eforturi au contribuit, de asemenea, Eurojust și Europol. Biroul pentru Afaceri Internaționale al Departamentului de Justiție al Statelor Unite a oferit un sprijin important pentru coordonarea acțiunilor internaționale.

Procurorul adjunct al Statelor Unite, Lauren Restrepo, din cadrul Diviziei de Securitate Națională, împreună cu Biroul FBI din Los Angeles și DCIS, a coordonat eforturile americane de neutralizare a botnet-ului Sality.

Compania americană de securitate cibernetică CrowdStrike precizează în raportul tehnic că botnet-ul Sality, monitorizat sub numele de cod SALTY SPIDER, este un grup infracțional de tip eCrime care operează din regiunea Bașchiria, Federația Rusă.