Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Authorities Turn Salitys P2P Network Against Itself, Cutting Off New Malware Payloads

1 minute de lecture

Mis à jour :

Démantèlement du botnet Sality : Une opération internationale réussie

Une coalition internationale menée par les États-Unis, en collaboration avec CrowdStrike et la Shadowserver Foundation, a neutralisé le réseau P2P du botnet Sality, actif depuis 2003. Cette opération a permis d’isoler les nœuds du réseau et de couper la distribution de nouvelles charges malveillantes.

Points clés :

  • Mode opératoire : Sality est un logiciel malveillant de type infecteur de fichiers (Windows) utilisant une architecture P2P décentralisée pour éviter les blocages classiques des serveurs de commande (C2).
  • Technique de neutralisation : Les autorités ont utilisé la manipulation de listes de pairs (peer list manipulation). En exploitant l’absence d’authentification et de chiffrement du protocole P2P, elles ont injecté des nœuds “sinkhole” pour isoler progressivement les machines infectées et supprimer les pairs légitimes.
  • Impact : Plus de 15 000 machines étaient infectées. Le botnet était utilisé pour le vol de cryptomonnaies (via l’outil EggJagger), des attaques DDoS et le détournement de contrôleurs industriels (PLC).
  • Origine : Attribué au groupe “Salty Spider”, opérant probablement depuis la Bachkirie (Russie).

Vulnérabilités exploitées :

  • Absence de mécanisme d’authentification ou de vérification d’identité cryptographique au sein du protocole P2P de Sality.
  • Confiance aveugle du logiciel malveillant envers les nouveaux pairs rejoignant le réseau.
  • Impossibilité de patcher le protocole P2P en raison de sa nature intégrée au code source de l’infecteur de fichiers.

Recommandations :

  • Vérification réseau : Analyser les logs et la télémétrie pour détecter tout trafic UDP sortant vers l’adresse IP 188.166.101.148 (utilisée comme sinkhole par CrowdStrike).
  • Remédiation : Bien que la distribution de nouvelles charges soit stoppée, le malware résidant déjà sur les systèmes compromis reste actif. Un nettoyage complet des terminaux infectés est impératif pour éradiquer définitivement la menace.

Source

Vous pourriez aimer