Una operación global desmantela la botnet Sality, activa durante más de dos décadas
- Seguridad
Sality es una red peer-to-peer que ha sido utilizada para distribuir malware a millones de dispositivos en todo el mundo. La acción, en la que España ha participado en la coordinación europea, supone un golpe significativo contra una de las estructuras delictivas más difíciles de desmantelar.
Sality operaba como una red P2P, lo que permitía que los dispositivos infectados se comunicaran entre sí sin depender de un servidor central. Esta arquitectura descentralizada hacía que la red fuera extremadamente resistente a las intervenciones policiales, ya que eliminar nodos individuales no afectaba al conjunto de la infraestructura.
En su punto álgido, la botnet otorgaba a sus operadores acceso a hasta un millón de máquinas infectadas en todo el mundo. A lo largo de su existencia, se han vinculado más de 11 millones de direcciones IP únicas a esta red criminal, utilizada para distribuir cargas maliciosas a dispositivos comprometidos.
Sinkholing y aislamiento de los dispositivos infectados
La acción conjunta incluyó una operación de sinkholing que redirigió las comunicaciones de los equipos infectados hacia infraestructura controlada por las autoridades, aislando así los dispositivos del canal de mando criminal y dejando inoperable la red de control de la botnet.
El desmantelamiento de Sality ha requerido años de trabajo coordinado. Desde 2017, Europol ha apoyado a fuerzas policiales de distintos países para identificar y derribar partes de la infraestructura a medida que se localizaban en diferentes jurisdicciones.
En las semanas previas a la operación final, los socios mantuvieron reuniones operativas semanales para sincronizar acciones y acelerar la intervención conjunta. España, a través de Europol y del marco EMPACT, participó en la coordinación de las medidas contra la infraestructura de la botnet en los países implicados, junto con Bulgaria, Hungría y Rumanía.
La operación se apoyó en una estrecha colaboración entre autoridades policiales y socios privados. A través del Cyber Intelligence Extension Programme (CIEP), empresas como CrowdStrike y Shadowserver Foundation aportaron análisis técnico e inteligencia sobre la infraestructura de la botnet.
Europol, mediante su European Cybercrime Centre (EC3) y el Joint Cybercrime Action Taskforce (J-CAT), facilitó el intercambio de inteligencia, la coordinación operativa y la creación de una visión común del funcionamiento de la red de bots.
