Sality disrotto: il takedown che ha trasformato la P2P in trappola

Il 31 agosto 2026 il Dipartimento di Giustizia statunitense ha annunciato la disruption del botnet Sality, attivo dal 2003. L'operazione, coordinata da FBI e DCIS con autorità di Bulgaria, Ungheria e Romania, ha sfruttato una vulnerabilità strutturale del malware: l'assenza di autenticazione nel protocollo peer-to-peer che ne garantiva la resilienza. CrowdStrike e Shadowserver Foundation hanno impersonato peer legittimi per svuotare le liste di contatto dei bot infetti e dirottare il traffico verso sinkhole controllati.

Il meccanismo: come si disrotta un botnet senza server di comando

Sality si propagava dal 2003 come file infector Windows, infettando eseguibili su disco e diffondendosi tramite share di rete, USB, file sharing, siti compromessi, email e reti P2P. A differenza dei botnet tradizionali, non dipendeva da un infrastruttura centralizzata di comando e controllo. Questa assenza di C2 rendeva Sality tecnicamente impossibile da abbattere con il classico modello di sequestro server.

Il malware operava attraverso due reti P2P indipendenti, denominate versione 3 e versione 4. Secondo la technical writeup di CrowdStrike, condividevano lo stesso codebase ma utilizzavano protocolli e chiavi crittografiche incompatibili; entrambe erano gestite dallo stesso threat actor. I bot verificavano lo stato dei peer ogni 40 minuti, accumulando o perdendo reputazione nel tempo.

La mancanza di autenticazione nel protocollo ha reso l'operazione possibile. I bot Sality accettavano qualsiasi peer che rispondesse correttamente al handshake P2P, senza identità crittografica verificabile né allowlist. Come ha documentato CrowdStrike, "anyone could join the network as a full participant with no way to distinguish it from a genuinely infected host". Questa caratteristica ha permesso agli operatori di inserirsi nella rete come peer apparentemente legittimi.

"The same properties that made Sality resilient also created the conditions for its undoing"

Peer list manipulation: l'assedio tecnico alla rete infetta

La tecnica al centro dell'operazione è la peer list manipulation, già impiegata nel 2014 contro GameOver Zeus e nel 2017 contro Kelihos. L'approccio funziona sostituendo progressivamente i peer legittimi con nodi controllati dall'operatore, fino a isolare completamente i bot dalla rete autentica.

L'operazione ha seguito una sequenza in due fasi. Inizialmente gli operatori hanno preso di mira i super peer, il backbone della rete, svuotandone le liste di contatto e inserendo sinkhole entries. Successivamente hanno adottato un approccio passivo per le macchine dietro NAT o firewall, che durante i cicli di manutenzione del protocollo contattavano spontaneamente i nuovi peer — in realtà i sinkhole.

Tutte le macchine infette beaconano ora verso l'indirizzo IP 188.166.101[.]148, identificato dalla fonte come "lighthouse" dell'operazione. Il sequestro di domini Sality-linked negli Stati Uniti e in Europa ha completato l'isolamento, impedendo la distribuzione di nuovi payload attraverso i canali alternativi del botnet.

EggJagger e l'economia del furto di criptovalute

Negli ultimi otto anni il payload principale distribuito da Sality è stato EggJagger, strumento di clipboard hijacking progettato per intercettare e sostituire indirizzi di portafogli di criptovalute copiati dagli utenti. CrowdStrike stima che questo payload abbia generato almeno $150.000 in furto per il threat actor.

Il clipjacking rappresenta una forma di attacco economicamente efficiente: non richiede la compromissione di exchange o la violazione di chiavi private, ma sfrutta l'errore umano nella verifica degli indirizzi incollati. L'impatto resta significativo per gli utenti anche dopo la disruption del botnet, poiché il malware già installato sulle macchine rimane funzionante e potenzialmente in grado di eseguire payload memorizzati localmente.

Perche e importante

Il dossier non specifica misure correttive specifiche per le organizzazioni, né una checklist di verifica sistematica. La fonte non documenta la durata prevista dell'operatività dei sinkhole CrowdStrike, il numero esatto di macchine attualmente infette oltre le stime di distribuzione payload, né l'evoluzione del threat actor verso altre infrastrutture.

Ciò che emerge con chiarezza è la fragilità strutturale delle botnet P2P considerate finora intrinsecamente resilienti. La mancanza di autenticazione, che elimina single point of failure tradizionali, introduce simultaneamente una superficie di attacco protocol-level: la rete stessa diventa il vettore di disruption. Sality non è stato abbattuto per carenze di sicurezza dei singoli host, ma per l'assenza di trust model nel proprio meccanismo di comunicazione.

Il modello di collaborazione pubblico-privato — DoJ, FBI, agenzie europee, CrowdStrike e Shadowserver Foundation — offre un template operativo per future azioni contro infrastrutture distribuite. La partecipazione di Shadowserver alla notifica di vittime tramite ISP e CSIRT nazionali rappresenta inoltre un elemento di continuità tra l'azione di disruption e la fase di remediation, anche se il brief non quantifica il tasso di successo di questa fase.

Domande e risposte

Sality è stato eliminato dal mio computer?

No. La disruption impedisce ai bot di ricevere nuovi payload e li isola dalla rete P2P, ma il malware esistente sulle macchine infette "remains active and should be removed", secondo quanto dichiarato da CrowdStrike nella fonte citata.

Che rischio corre se la mia azienda ha traffico verso 188.166.101[.]148?

Il traffico UDP verso questo indirizzo indica con alta probabilità una macchina infetta da Sality che sta beaconando al sinkhole operativo. La fonte raccomanda esplicitamente di "review network logs and endpoint telemetry for UDP traffic to the 'lighthouse' IP address", ma non specifica procedure di isolamento o contenimento automatico.

Perche questo takedown è diverso da altri operazioni contro botnet?

Le operazioni tradizionali si concentrano su infrastrutture C2 centralizzate; questa ha sfruttato caratteristiche architetturali del target stesso. Inoltre Sality, essendo un file infector, "cannot be patched" — non riceve aggiornamenti da server remoto ma si propaga modificando file eseguibili su disco, rendendo la disruption via sinkholing l'unica via praticabile di contenimento a larga scala.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/authorities-turn-salitys-p2p-network.html
• https://www.theregister.com/cyber-crime/2026/09/02/cops-crowdstrike-disrupt-sality-botnet-by-poisoning-the-network-and-diverting-into-sinkholes/5293795
• https://www.lawfuel.com/cyber-crime-sality-malware-disrupted-in-international-cyber-takedown-says-us-attorney/
• https://www.firstpost.com/tech/us-takes-down-sality-malware-network-in-global-cyber-crackdown-as-trump-administration-steps-up-defences-against-attacks-14042531.html
• https://nvd.nist.gov/vuln/detail/cve-2026-77846
• https://github.com/ash-project/ash_sqlite/commit/2138480fceb654bec1845e691517ac409d0232c3
• https://github.com/ash-project/ash_sqlite/security/advisories/GHSA-hrp2-5hgw-c83c
• https://cna.erlef.org/cves/CVE-2026-77846.html

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti