Una operación internacional liderada por Estados Unidos ha logrado desmantelar la infraestructura de Sality, una botnet peer-to-peer que llevaba más de dos décadas infectando dispositivos y robando criptomonedas con un truco de portapapeles.

Operación coordinada entre autoridades y empresas

El Departamento de Justicia de Estados Unidos anunció la acción contra la botnet Sality en un esfuerzo conjunto con autoridades de Bulgaria, Hungría y Rumanía, además del apoyo de Europol y los socios privados CrowdStrike y Shadowserver Foundation. La operación, ejecutada el 31 de agosto, se centró en el «sinkholing», una técnica que redirige las comunicaciones de las máquinas infectadas lejos de la infraestructura de la botnet.

Según CrowdStrike, el malware Sality incluía una herramienta llamada EggJagger, descrita como un «clipjacking tool» que monitoriza el portapapeles en busca de direcciones de criptomonedas y las reemplaza silenciosamente por otras controladas por los operadores.

«Cuando una víctima copia una dirección de Bitcoin o Ethereum para hacer un pago, los fondos se redirigen», explicó CrowdStrike sobre la técnica de robo.

Cifras del robo y alcance de la botnet

Los operadores de Sality lograron robar al menos 12,1 millones de rublos, equivalentes a unos 150.000 dólares, en criptomonedas. CrowdStrike señaló que el valor de los activos digitales «nunca gastados» alcanzó un pico de aproximadamente 1,5 millones de dólares en enero de 2025.

La botnet, que ha estado activa desde 2003, llegó a contar con más de un millón de máquinas infectadas en su punto máximo, según Europol. En total, más de 11 millones de direcciones IP únicas han estado vinculadas a su infraestructura a lo largo de los años. En el momento de la interrupción, CrowdStrike reportó que el malware distribuía cargas maliciosas a unas 15.000 máquinas infectadas, que formaban una red peer-to-peer donde los equipos se verificaban entre sí cada 40 minutos.

Un botnet de larga duración y múltiples usos

Además del robo de criptomonedas, Sality se utilizaba para distribuir otros tipos de malware, incluyendo herramientas para robo de credenciales, distribución de spam, servicios proxy, explotación de redes y ataques de denegación de servicio (DDoS). La naturaleza descentralizada de la botnet hacía que fuera más difícil de desmantelar que las redes tradicionales con un servidor central de comando y control.

Cómo se aprovechó una vulnerabilidad de confianza

CrowdStrike detalló que la operación se basó en explotar una debilidad en el diseño de Sality: cada bot mantiene una lista finita de «super peers» (máquinas infectadas de acceso público que forman la columna vertebral de la red). Cada 40 minutos, el bot verifica si esos super peers siguen en línea. Los que responden acumulan reputación; los que no, la pierden y son eliminados.

La operación aprovechó esto para:

  • Eliminar peers legítimos mediante manipulación del protocolo durante la verificación.
  • Insertar entradas de «sinkhole» en las listas de peers vaciadas, permitiendo el seguimiento y la notificación a las víctimas.

Gracias a esta técnica, los operadores de Sality «perdieron la capacidad de comunicarse con las máquinas infectadas», según CrowdStrike.

Coordinación internacional y próximos pasos

Europol señaló que la operación «llevaba mucho tiempo gestándose» y que desde 2017 ha apoyado los esfuerzos para identificar y desmantelar la infraestructura de Sality en todo el mundo. En las semanas previas a la interrupción, la cooperación se intensificó con llamadas operativas semanales para coordinar las acciones. La Shadowserver Foundation, por su parte, coordinó con los proveedores de internet y los equipos de respuesta a incidentes para identificar infecciones, notificar a las víctimas y ayudar en la remediación.

El desmantelamiento de Sality representa un golpe significativo a una de las botnets más longevas y versátiles, que durante más de 20 años ha sido una herramienta clave para el cibercrimen y el robo de criptomonedas.