Increvable depuis 2003, Sality distribuait encore récemment des malwares à tour de bras sur des milliers de machines dans le monde. Ce vétéran des botnets vient pourtant de mettre un genou à terre, piégé par le réseau qui avait assuré sa survie.
Sality en avait vu passer, des tentatives de démantèlement et des campagnes de nettoyage. Plus de vingt ans après son apparition, le botnet comptait encore quelque 15 000 machines infectées et deux réseaux P2P actifs, toujours capables de relayer des malwares, détourner des cryptomonnaies ou lancer ponctuellement des attaques DDoS. Une longévité exceptionnelle qu’il devait en grande partie à sa structure décentralisée, pensée pour résister à la disparition de ses serveurs de commande. Le 31 août, CrowdStrike, plusieurs services de police appuyés par Europol et la fondation Shadowserver sont finalement parvenus à lui couper les pattes en retournant contre lui l’architecture qui l’avait rendu si difficile à éliminer.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Du banal virus au réseau extraordinairement endurant
En 2003, Sality n’est encore qu’un virus capable de contaminer les fichiers exécutables d’un PC. Il ne le restera toutefois pas longtemps. Au fil des années, ses concepteurs le font évoluer jusqu’à bâtir un vaste botnet peer-to-peer, débarrassé du talon d’Achille habituel de ce type de réseau, à savoir un serveur de commande central. Les machines compromises communiquent directement entre elles, s’échangent leurs listes de pairs et se transmettent les instructions de l’opérateur.
Plus question, dès lors, de faire tomber Sality en saisissant quelques serveurs. Le botnet peut perdre une partie de ses machines et continuer à tourner tant que subsiste un noyau suffisamment important de systèmes compromis, tandis que l’infection directe des fichiers exécutables lui permet d’enrôler de nouveaux équipements via des partages réseau, des supports amovibles ou des fichiers échangés entre utilisateurs, sans que son opérateur ait à multiplier les campagnes de phishing ni à chercher constamment de nouvelles failles.
Ce double avantage lui permettra de traverser les années et de prendre une ampleur considérable. À son apogée, son opérateur aurait ainsi eu accès à jusqu’à un million de machines infectées simultanément, tandis que plus de 11 millions d’adresses IP uniques ont été associées à l’infrastructure de Sality au fil de son existence, selon Europol.
Vingt ans plus tard, deux réseaux distincts correspondant aux versions 3 et 4 du botnet fonctionnaient encore à la veille de l’opération du 31 août. Exploités par le même opérateur et issus de la même base de code, ils ne pouvaient toutefois pas communiquer entre eux, chacun reposant sur son propre protocole et ses propres clés cryptographiques.
L’opérateur pouvait en revanche s’appuyer sur l’un comme sur l’autre pour distribuer toute une collection de charges malveillantes. Sality a ainsi servi à déployer des voleurs d’identifiants, des outils de spam, des proxys ou encore des malwares destinés aux attaques DDoS. Depuis environ huit ans, le cybercriminel misait principalement sur EggJagger, un clipjacker qui surveillait le presse-papiers et substituait ses propres adresses Bitcoin ou Ethereum à celles copiées par les victimes au moment d’un paiement, détournant ainsi au moins 12,1 millions de roubles, soit environ 150 000 dollars, selon les estimations de CrowdStrike. Les cryptomonnaies accumulées et jamais dépensées auraient même atteint une valeur de quelque 147 millions de roubles (1,35 million de dollars) en janvier 2025, sous l’effet des variations de marché.
Le réseau P2P qui protégeait Sality a fini par le trahir
Sality a finalement cédé sur ce qui faisait sa force. Son protocole P2P, conçu pour lui éviter toute dépendance à une infrastructure centrale, accordait en effet une confiance presque aveugle aux machines qui rejoignaient le réseau. Dès lors qu’un système répondait correctement aux échanges attendus, les autres bots l’acceptaient comme un pair légitime, sans authentification, sans identité cryptographique ni liste de machines autorisées.
Une faiblesse ancienne que l’opérateur ne pouvait guère corriger : mettre à jour le protocole aurait nécessité de diffuser une nouvelle variante de Sality, au risque de la voir entrer en concurrence avec la souche déjà présente sur les mêmes machines et de fragmenter son propre réseau plutôt que de le mettre à niveau.
CrowdStrike et ses partenaires se sont engouffrés dans la brèche. Chaque machine infectée conservait une liste de « super peers », des systèmes accessibles depuis Internet qui formaient l’épine dorsale du réseau et assuraient la circulation des instructions. Toutes les quarante minutes environ, elle vérifiait lesquels répondaient encore et actualisait cette liste en conséquence, gardant trace des systèmes joignables et écartant progressivement ceux qui ne l’étaient plus.
En manipulant les échanges lors de ces vérifications, les équipes engagées dans l’opération sont ainsi parvenues à remplacer peu à peu les véritables super peers par leurs propres serveurs. Amputés de leurs relais habituels, les bots ont petit à petit perdu le contact avec le réseau de l’opérateur, jusqu’à ne plus pouvoir recevoir de nouvelles instructions ni propager les charges malveillantes qu’il leur envoyait.
Les forces de l’ordre ont, dans le même temps, fait retirer les URL qui hébergeaient encore les fichiers distribués par Sality, empêchant les machines qui disposaient d’anciennes instructions de continuer à les télécharger. Le 31 août, l’opérateur avait donc perdu le contrôle de son botnet.
Neutraliser le réseau n’a toutefois pas permis de désinfecter les quelque 15 000 machines compromises. Sality et les autres malwares déjà installés peuvent y rester actifs, même privés de nouvelles instructions. CrowdStrike a donc publié les indicateurs de compromission nécessaires pour les repérer, notamment les adresses et domaines auxquels les systèmes infectés tentent toujours de se connecter. Charge aux organisations, désormais, de confronter ces éléments à leurs journaux réseau et à la télémétrie de leurs postes, puis d’assainir les machines qui répondent encore à l’appel.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.