La botnet Sality, activa desde 2003 y vinculada durante años a distintas operaciones de ciberdelincuencia, ha sido desmantelada tras una intervención coordinada entre CrowdStrike y autoridades policiales de Estados Unidos y Europa. La operación ha permitido desconectar de la red criminal más de 15.000 ordenadores infectados en todo el mundo.
Sality también se utilizó para desviar criptomonedas. El grupo detrás de la infraestructura empleaba un malware capaz de vigilar el portapapeles de los equipos comprometidos y sustituir las direcciones de los monederos que las víctimas copiaban antes de realizar una transferencia.
El malware cambiaba la dirección al copiarla
El método se apoyaba en un gesto habitual al enviar Bitcoin (BTC) o Ethereum (ETH): copiar la larga dirección del monedero del destinatario para pegarla después en la aplicación correspondiente. Una vez detectada esa acción, el software malicioso podía reemplazar la dirección original por otra controlada por los atacantes.
La víctima veía aparentemente el mismo proceso de envío, pero la transacción se dirigía a un monedero distinto. Si no comprobaba la dirección antes de confirmar la operación, los fondos terminaban en manos de los delincuentes. Según los cálculos de CrowdStrike, esta técnica permitió robar al menos 150.000 dólares en criptomonedas.
Una parte de esos activos no se vendió de inmediato. Las subidas posteriores del mercado hicieron que, en enero de 2025, el valor de uno de los monederos que contenían criptomonedas robadas alcanzara aproximadamente 1,35 millones de dólares.
Una red diseñada para resistir las intervenciones
Sality apareció mucho antes del lanzamiento de Bitcoin y, en sus primeras etapas, se empleó para robar credenciales, distribuir spam y ejecutar otros tipos de ataques informáticos. Su permanencia durante 23 años estuvo relacionada en buena medida con la arquitectura de la red.
A diferencia de las botnets que dependen de servidores centrales, los ordenadores infectados por Sality se comunicaban directamente entre sí. Esto dificultaba una intervención convencional: la retirada de un servidor concreto no bastaba para desactivar toda la infraestructura.
Los investigadores de CrowdStrike utilizaron esa misma estructura para dirigir los equipos comprometidos hacia servidores bajo su control. De ese modo, lograron separarlos de la red criminal y desconectar más de 15.000 dispositivos.
La infección puede seguir presente en los equipos
La operación contó también con la intervención de varias autoridades. Estados Unidos incautó dominios relacionados con Sality, mientras que los cuerpos policiales de Bulgaria, Hungría y Rumanía desactivaron servidores vinculados a la red.
La neutralización de la botnet no implica necesariamente que el software malicioso haya desaparecido de todos los ordenadores afectados. Desconectar un equipo de la infraestructura criminal no equivale a eliminar la infección. Por ese motivo, los proveedores de internet están tratando de alertar a los propietarios de los dispositivos comprometidos.
