Le département américain de la Justice a annoncé qu’une opération transnationale de lutte menée par les États-Unis et impliquant la Bulgarie, la Hongrie et la Roumanie avait réussi à perturber le botnet Sality, qui fonctionnait de longue date. L’opération a impliqué le ministère américain de la Justice, le FBI et le Bureau des enquêtes criminelles du département de la Défense, et a bénéficié du soutien d’organisations telles qu’Europol, Eurojust, CrowdStrike et la Shadowserver Foundation.

Du virus transmis par les fichiers à un réseau P2P

Sality est apparu pour la première fois dès 2003 : il s’agissait au départ d’un programme malveillant capable d’infecter des exécutables Windows, avant d’évoluer progressivement vers un réseau de botnets décentralisé de type pair à pair, autrement dit un réseau P2P. Le virus peut s’attacher aux fichiers exécutables présents sur l’ordinateur et continuer à se propager via des dossiers partagés, des périphériques de stockage USB et des réseaux de partage de fichiers.

Contrairement aux réseaux de botnets traditionnels qui dépendent de serveurs de commande centraux, les appareils infectés par Sality peuvent échanger directement des nœuds et des instructions entre eux. Même si certains serveurs ou ordinateurs sont mis hors service, les autres nœuds peuvent continuer à faire fonctionner le réseau, ce qui rend Sality difficile à neutraliser totalement via la méthode habituelle consistant à saisir des serveurs.

Europol indique que, lors de son apogée, Sality permettait aux opérateurs d’accéder à jusqu’à environ 1 million de machines infectées. À la date de cette opération, le nombre d’adresses IP uniques associées à son infrastructure au fil des années dépasse 11 millions. CrowdStrike estime, pour sa part, qu’avant l’opération, plus de 15 000 appareils infectés pouvaient encore recevoir des charges malveillantes transmises par Sality.

Empêcher l’exploitation de l’architecture P2P en coupant le contrôle des opérateurs

Le cœur de cette opération repose sur le sinkholing P2P, ainsi que sur la technique de manipulation de la liste de nœuds. Les ordinateurs infectés par Sality conservent une liste de « super-nœuds », puis vérifient environ toutes les 40 minutes si les nœuds concernés sont toujours en ligne.

Les chercheurs de CrowdStrike exploitent une faiblesse dans les nœuds de Sality qui ne disposent pas d’une authentification. Ils retirent progressivement les nœuds malveillants initiaux de la liste des appareils infectés, puis y insèrent des nœuds de piégeage (sinkholes) contrôlés par l’équipe de cybersécurité. Les ordinateurs infectés n’ont alors, au fil du temps, plus de connexion avec les véritables opérateurs et ne peuvent plus recevoir de nouvelles instructions ni télécharger d’autres logiciels malveillants.

Les autorités américaines ont à la fois saisi des domaines liés à Sality situés sur leur territoire. Les autorités répressives en Bulgarie, en Hongrie et en Roumanie ont également traité des domaines concernés en Europe, ce qui a permis de bloquer davantage les voies de secours utilisées par Sality pour télécharger des charges malveillantes.

A déjà été utilisé pour voler des cryptomonnaies via le détournement du presse-papiers (clipboard hijacking)

Sality sert principalement de plateforme de diffusion pour d’autres logiciels malveillants ; au fil des années, elle a notamment été utilisée pour propager des outils de vol de mots de passe, des programmes de courrier indésirable, des logiciels de serveur proxy, des outils de compromission réseau et des programmes d’attaque par déni de service distribué.

CrowdStrike indique qu’au cours des quelque huit dernières années, Sality a surtout diffusé un programme de « détournement du presse-papiers » nommé EggJagger. Lorsqu’un utilisateur copie une adresse de portefeuille Bitcoin ou Ethereum, EggJagger remplace l’adresse en secret par une adresse contrôlée par l’attaquant, ce qui fait que les cryptomonnaies sont transférées vers le portefeuille des criminels. CrowdStrike estime que les opérateurs ont ainsi volé au moins environ 150 000 dollars de cryptomonnaies, et que les revenus générés par d’autres charges malveillantes ne sont pas inclus.

Couper le réseau contrôlé ne signifie pas que le virus a complètement disparu

D’après CrowdStrike, Sality n’est plus contrôlée par ses auteurs initiaux. Cependant, l’action ne peut qu’empêcher les appareils infectés de recevoir de nouvelles charges malveillantes : les programmes Sality déjà présents sur les ordinateurs, ainsi que les autres logiciels malveillants téléchargés auparavant, peuvent encore continuer à fonctionner.

La Fondation Shadowserver collabore avec des fournisseurs de services Internet et des équipes nationales de réponse aux incidents de cybersécurité afin d’identifier les sources d’infection et d’en informer les victimes. Comme personne n’a encore été arrêté, les opérateurs pourraient aussi tenter de mettre en place un nouveau réseau malveillant. Par conséquent, l’opération doit être considérée comme une neutralisation réussie de l’infrastructure de contrôle existante de Sality, et non comme une élimination de toutes les infections et des menaces futures.

« Un réseau de zombies Sality actif depuis 23 ans perturbé par une action conjointe internationale : plus de 15 000 appareils infectés déconnectés de leurs opérateurs » ; cet article a été publié pour la première fois sur (Blockcast).