Après plus de 20 ans d’activité, l’un des plus vieux botnets au monde vaincu par ce qui faisait sa force

Increvable depuis 2003, Sality distribuait encore récemment des malwares à tour de bras sur des milliers de machines dans le monde. Ce vétéran des botnets vient pourtant de mettre un genou à terre, piégé par le réseau qui avait assuré sa survie.

Sality en avait vu passer, des tentatives de démantèlement et des campagnes de nettoyage. Plus de vingt ans après son apparition, le botnet comptait encore quelque 15 000 machines infectées et deux réseaux P2P actifs, toujours capables de relayer des malwares, détourner des cryptomonnaies ou lancer ponctuellement des attaques DDoS . Une longévité exceptionnelle qu’il devait en grande partie à sa structure décentralisée, pensée pour résister à la disparition de ses serveurs de commande. Le 31 août, CrowdStrike , plusieurs services de police appuyés par Europol et la fondation Shadowserver sont finalement parvenus à lui couper les pattes en retournant contre lui l’architecture qui l’avait rendu si difficile à éliminer.

Bitdefender La solution tout-en-un pour protéger votre entreprise Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !

En 2003, Sality n’est encore qu’un virus capable de contaminer les fichiers exécutables d’un PC. Il ne le restera toutefois pas longtemps. Au fil des années, ses concepteurs le font évoluer jusqu’à bâtir un vaste botnet peer-to-peer, débarrassé du talon d’Achille habituel de ce type de réseau, à savoir un serveur de commande central . Les machines compromises communiquent directement entre elles, s’échangent leurs listes de pairs et se transmettent les instructions de l’opérateur.

Plus question, dès lors, de faire tomber Sality en saisissant quelques serveurs. Le botnet peut perdre une partie de ses machines et continuer à tourner tant que subsiste un noyau suffisamment important de systèmes compromis, tandis que l’infection directe des fichiers exécutables lui permet d’enrôler de nouveaux équipements via des partages réseau, des supports amovibles ou des fichiers échangés entre utilisateurs, sans que son opérateur ait à multiplier les campagnes de phishing ni à chercher constamment de nouvelles failles.

Ce double avantage lui permettra de traverser les années et de prendre une ampleur considérable. À son apogée, son opérateur aurait ainsi eu accès à jusqu’à un million de machines infectées simultanément, tandis que plus de 11 millions d’adresses IP uniques ont été associées à l’infrastructure de Sality au fil de son existence, selon Europol.

Vingt ans plus tard, deux réseaux distincts correspondant aux versions 3 et 4 du botnet fonctionnaient encore à la veille de l’opération du 31 août. Exploités par le même opérateur et issus de la même base de code, ils ne pouvaient toutefois pas communiquer entre eux, chacun reposant sur son propre protocole et ses propres clés cryptographiques.

L’opérateur pouvait en revanche s’appuyer sur l’un comme sur l’autre pour distribuer toute une collection de charges malveillantes. Sality a ainsi servi à déployer des voleurs d’identifiants , des outils de spam, des proxys ou encore des malwares destinés aux attaques DDoS.