Un réseau de machines infectées actif depuis 2003 a récemment été déconnecté de son opérateur. Dans le cadre d’une opération coordonnée, le ministère américain de la Justice, le FBI, CrowdStrike, la Shadowserver Foundation et plusieurs services européens se sont attaqués à Sality, une famille de malwares réputée pour le vol de cryptomonnaies, la distribution de charges utiles malveillantes et la participation à diverses cyberattaques. Des domaines ont été saisis tant aux États-Unis qu’en Europe, alors que le réseau peer-to-peer de ce botnet a été redirigé vers des serveurs contrôlés par les autorités.
Cette opération ne se présente pas comme l’arrestation d’un responsable, dont l’identité n’a pas été révélée publiquement. Elle cible plutôt les infrastructures et les mécanismes de communication du botnet. Il est essentiel de préciser que les ordinateurs compromis ne sont pas automatiquement nettoyés. Bien qu’ils ne reçoivent plus d’instructions de l’opérateur, ils se signalent désormais aux systèmes de collecte, offrant ainsi la possibilité aux prestataires de services et aux équipes de réponse aux incidents d’informer les victimes.
Pourquoi Sality résiste depuis plus de vingt ans
Un botnet classique s’appuie sur un serveur de commande central. Chaque machine infectée s’y connecte pour obtenir des instructions ou télécharger de nouveaux programmes. La fermeture d’un tel serveur peut suffire à désorganiser le réseau. En revanche, Sality a opté pour une architecture peer-to-peer, où les ordinateurs compromis échangent des listes de voisins et signent des paquets entre eux. Cela signifie qu’il n’y a pas de point de défaillance unique.
Ce modèle rappelle, en théorie, certains réseaux de partage de fichiers : chaque nœud participe à la diffusion de l’information. Sality a introduit des super-pairs chargés de structurer les transactions, de fournir des listes d’adresses menant à de nouvelles charges utiles et d’exécuter une vérification cryptographique destinée à empêcher l’envoi facile de fausses commandes par un tiers. Ainsi, même si les domaines venaient à disparaître, les machines pouvaient continuer à se signaler mutuellement pour accéder au réseau.
La famille de malwares a connu une évolution constante depuis plus de deux décennies. Selon le Département américain de la Justice, Sality a été impliquée dans des vols et des attaques de cryptomonnaies, tant aux États-Unis qu’à l’international. Reuters souligne également son rôle dans le spam et les attaques par déni de service distribué. Le communiqué ne fournit pas de chiffre exact concernant le nombre de machines encore actives, précisant qu’il ne faut pas confondre la longévité de Sality avec une estimation actuelle de sa taille.
CrowdStrike a transformé le protocole peer-to-peer contre le botnet
Pour démanteler Sality, CrowdStrike n’a pas simplement tenté de bloquer des adresses. Ses chercheurs ont analysé le protocole de vérification peer-to-peer et ont trouvé un moyen d’invalider les entrées légitimes dans les listes de voisins des machines infectées. Ils ont ensuite injecté des adresses de serveurs Sinkhole à la place des super-pairs utilisés par l’opérateur.
Le rapport technique de l’opération indique que les super-pairs ont été ciblés en premier car ils constituaient le fondement de la communication. Pour les ordinateurs placés derrière un pare-feu ou utilisant une traduction d’adresses réseau, rendant leur contact direct impossible, l’équipe a attendu leur cycle de maintenance normal. Lorsque ces ordinateurs interrogeaient un nœud désormais contrôlé, leur liste était purgée, puis remplacée. Du point de vue de l’opérateur, les machines semblaient disparaître progressivement.
Parallèlement, les autorités ont fermé les domaines et les adresses Web hébergeant les accusations proposées par Sality. Cette deuxième mesure empêche un appareil qui pourrait encore posséder une ancienne liste de télécharger un fichier malveillant pendant la transition. Les États-Unis ont saisi des domaines situés sur leur territoire, tandis que des partenaires en Bulgarie, en Hongrie et en Roumanie ont également agi contre des éléments hébergés en Europe, avec le soutien d’Eurojust et d’Europol.
Cette stratégie illustre les avantages de la collaboration entre chercheurs et autorités judiciaires. Les chercheurs peuvent comprendre et contrecarrer le protocole, mais n’ont pas le pouvoir d’une saisie de domaine. Les autorités peuvent ordonner des fermetures, mais une opération purement légale serait moins efficace face à une architecture décentralisée. La coordination entre les deux démarches réduit simultanément les voies de contournement.
Les machines infectées doivent encore être réparées
La Shadowserver Foundation collabore avec les fournisseurs d’accès Internet et les équipes d’intervention nationales pour identifier les connexions avec les gouffres et alerter les organisations concernées. CrowdStrike publie également des règles pour le suivi des adresses IP et le format YARA, capables de rechercher en mémoire les clés utilisées par Sality. Ces indicateurs sont destinés aux administrateurs et ne doivent pas inciter un individu à manipuler de manière aléatoire son pare-feu ou à supprimer des fichiers système.
Un ordinateur qui interagit avec le gouffre reste compromis. Il peut contenir d’autres charges utiles, des identifiants volés ou des modifications persistantes. La réparation nécessite une analyse approfondie du périphérique, une mise à jour des logiciels, une rotation des mots de passe utilisés sur la machine et, selon la gravité, une réinstallation totale. Dans un réseau d’entreprise, il est également crucial de détecter les mouvements latéraux et de passer en revue les journaux plutôt que de se concentrer uniquement sur la première station identifiée.
Le dossier souligne que les équipements anciens peuvent rester connectés pendant une longue période. KultureGeek a récemment rapporté la découverte de portes dérobées dans des routeurs Zbtlink et l’appel de plus d’une centaine d’entreprises à une défense collective contre les cyberattaques. Dans ces deux cas, le défi dépasse la simple correction : il est nécessaire d’identifier les systèmes vulnérables et d’informer leurs propriétaires.
L’opérateur de Sality pourrait tenter de reconstruire ses infrastructures ou de modifier son protocole. Cependant, le détournement actuel supprime un atout qu’il a créé depuis plus de vingt ans : un ensemble de machines compromises capables de se retrouver. La mesure du succès dépendra désormais de la diminution durable des connexions, du nombre de victimes effectivement évitées et de l’absence d’un nouveau variant capable de reprendre le contrôle des appareils encore infectés.
