Sality : après 23 ans, le botnet P2P utilisé pour voler des cryptomonnaies a été neutralisé

Une opération internationale isole le réseau criminel

Une opération internationale a perturbé l’infrastructure de Sality, un botnet peer-to-peer observé pour la première fois en 2003 et resté actif pendant 23 ans. Au fil du temps, le réseau a distribué des voleurs d’informations, des services proxy, des outils destinés aux attaques DDoS et d’autres composants malveillants.

La campagne a réuni CrowdStrike, les autorités répressives des États-Unis, de Bulgarie, de Hongrie et de Roumanie, ainsi que la Shadowserver Foundation. Cette dernière collabore avec des fournisseurs d’accès à Internet et des CSIRT afin d’identifier les systèmes toujours compromis et de coordonner les opérations de remédiation.

L’intervention s’est appuyée sur deux actions. CrowdStrike a manipulé le protocole P2P afin de séparer les bots des nœuds contrôlés par l’opérateur, tandis que les autorités ont supprimé ou désactivé les URL hébergeant les charges utiles distribuées par le réseau.

Selon CrowdStrike, l’opérateur de Sality ne serait plus en mesure de communiquer avec les machines infectées. Les systèmes encore compromis enverraient désormais leur trafic périodique vers des sinkholes contrôlés par l’entreprise.

Le botnet a donc été neutralisé sur le plan opérationnel, mais il n’a pas automatiquement été supprimé des terminaux. Le malware peut toujours être présent sur les appareils.

Pourquoi Sality a résisté aussi longtemps

La longévité de Sality reposait principalement sur son architecture distribuée. Au lieu de dépendre d’un serveur unique de commande et de contrôle, le botnet utilisait un réseau P2P par lequel les nœuds recevaient des mises à jour, des instructions et de nouveaux codes.

L’absence d’une infrastructure centrale compliquait une opération traditionnelle de démantèlement. La désactivation d’un seul serveur n’aurait pas suffi : les appareils infectés auraient pu continuer à communiquer par l’intermédiaire d’autres pairs.

L’ossature du réseau était constituée de machines compromises jouant le rôle de super pairs. Chaque bot conservait une liste de ces nœuds et vérifiait régulièrement leur accessibilité.

Le protocole reposait sur un système de réputation opérationnel. Un super pair qui continuait à répondre gagnait en fiabilité, tandis qu’un nœud inaccessible perdait progressivement sa réputation jusqu’à être retiré de la liste. Sality pouvait ainsi mettre à jour automatiquement sa topologie et conserver des voies de communication fonctionnelles.

La propagation contribuait également à sa persistance. Sality fonctionnait comme un virus infecteur de fichiers, en insérant son code dans les exécutables stockés sur les disques et les supports amovibles. Un fichier modifié puis transféré vers un autre ordinateur pouvait donc étendre l’infection au-delà du système initial.

Cette caractéristique complique également la remédiation. Il ne suffit pas d’interrompre le processus malveillant ou de supprimer un seul fichier : il faut identifier les exécutables modifiés et vérifier les supports susceptibles d’avoir transporté le malware.

La faiblesse cachée dans le protocole P2P

L’architecture qui avait protégé Sality pendant plus de deux décennies comportait elle-même une faiblesse structurelle. Le protocole faisait confiance aux pairs sans appliquer de mécanismes d’authentification ni de contrôles fiables de leur identité.

CrowdStrike a exploité cette confiance pour intervenir directement sur les listes utilisées par les bots. L’opération a progressivement supprimé les références aux super pairs de l’infrastructure criminelle et les a remplacées par des nœuds destinés au sinkholing.

Un sinkhole est un système contrôlé par les défenseurs qui reçoit le trafic auparavant destiné à l’infrastructure malveillante. Il ne désinfecte pas l’ordinateur, mais empêche ou limite le contact avec l’opérateur et permet d’observer les communications résiduelles.

Dans le cas de Sality, la manipulation des listes a progressivement isolé les machines compromises. Lorsque les bots ont actualisé leur vision du réseau, les nœuds contrôlés par les défenseurs ont remplacé les super pairs utilisés par l’opérateur.

L’action menée sur les URL a complété l’intervention. En supprimant les ressources à partir desquelles Sality téléchargeait les charges utiles, les autorités ont empêché les appareils déjà infectés de recevoir de nouveaux composants par ces canaux.

Il ne s’agit pas d’une vulnérabilité logicielle officiellement référencée. Aucun identifiant CVE n’a été communiqué et aucun produit ou version spécifique nécessitant l’installation d’un correctif ne semble concerné. La faiblesse exploitée pour perturber le botnet concernait le modèle de confiance du protocole P2P de Sality.

EggJagger et le vol via le presse-papiers

Au cours des huit dernières années, Sality aurait principalement été utilisée pour distribuer EggJagger, un outil de clipjacking associé au vol de cryptomonnaies.

Cette technique cible le contenu copié dans le presse-papiers du système d’exploitation. Lors d’une transaction, un utilisateur peut copier l’adresse du portefeuille du destinataire afin de la coller dans l’application ou le site utilisé pour effectuer le transfert.

Le malware intercepte cette valeur et la remplace par une adresse contrôlée par l’attaquant. Si la victime ne compare pas attentivement la chaîne collée avec l’adresse d’origine, la transaction est autorisée vers le mauvais portefeuille.

Une fois le transfert confirmé sur la blockchain, la récupération des fonds peut s’avérer extrêmement difficile. EggJagger aurait dérobé au moins 150 000 dollars en Bitcoin et Ethereum. Il s’agit d’une estimation minimale qui pourrait ne pas refléter l’ensemble des revenus générés par la campagne.

L’impact de Sality ne se limite toutefois pas aux cryptomonnaies. Le botnet a soutenu des activités de vol d’informations, la distribution de proxies abusifs et des attaques DDoS, offrant à son opérateur une plateforme adaptable à différentes finalités criminelles.

La perturbation du botnet ne signifie pas la suppression du malware

L’isolement du réseau réduit la capacité de l’opérateur à envoyer des commandes et à distribuer de nouvelles charges utiles. Il ne supprime toutefois pas Sality des ordinateurs déjà compromis et ne restaure pas les exécutables modifiés par le virus infecteur de fichiers.

Les organisations doivent donc examiner les terminaux potentiellement exposés, en accordant une attention particulière aux systèmes anciens, aux fichiers exécutables transférés entre appareils et aux supports amovibles utilisés sur plusieurs machines. Ces derniers peuvent conserver des copies infectées et réintroduire le malware après une remédiation incomplète.

Il est également recommandé de vérifier toute anomalie affectant les applications dédiées aux cryptomonnaies. Les adresses des portefeuilles doivent être comparées avant d’autoriser chaque transaction, en particulier lorsqu’elles ont été saisies par copier-coller.

Aucun nom de fichier, hash, domaine, adresse IP ou autre chaîne directement exploitable comme indicateur de compromission n’a été publié. Il n’existe pas non plus de signatures opérationnelles ni de procédure universelle connue pour supprimer l’infection.

Lorsque les données issues des sinkholes seront mises à la disposition des défenseurs, le trafic qui leur est destiné pourra contribuer à identifier les terminaux encore actifs. Une communication avec un sinkhole constitue en effet un signe possible d’infection résiduelle, et non la preuve que la machine a déjà été nettoyée.

La remédiation passe par les FAI, les CSIRT et les fournisseurs de sécurité

La Shadowserver Foundation collabore avec des FAI et des CSIRT afin d’associer les connexions observées aux systèmes victimes et d’alerter les utilisateurs et les organisations. Toute personne recevant une notification doit la considérer comme une indication concrète de compromission et lancer une analyse du terminal concerné.

En l’absence d’outils et de signatures de suppression rendus publics, la remédiation doit être coordonnée avec le fournisseur concerné, le CSIRT compétent ou un prestataire de sécurité. L’analyse devrait couvrir les exécutables, les supports amovibles ainsi que les autres appareils ayant échangé des fichiers avec la machine infectée.

Il peut être nécessaire de remplacer les fichiers modifiés par des copies saines ou de restaurer complètement le système. Le choix dépend de l’étendue de l’infection, qu’un virus infecteur de fichiers peut rendre difficile à délimiter avec certitude.

L’opération a privé l’auteur de Sality du contrôle du réseau et bloqué les canaux connus de distribution des charges utiles. La phase suivante est moins visible, mais déterminante : repérer les machines encore infectées et supprimer le code resté opérationnel après 23 années de propagation.