Mạng botnet Sality bị vô hiệu hóa qua sinkhole P2P
"Authorities from the U.S., Bulgaria, Hungary, and Romania, with private-sector support, disrupted the long-running Sality P2P botnet by sinkholing its peer network and seizing related domains. The operation cut off payload distribution and communication to infected hosts, preventing further delivery of malware such as EggJagger; no CVE was involved because this was a botnet takedown rather than a software vulnerability fix."
Giảm đáng kể khả năng phát tán payload và điều khiển từ xa của botnet; hỗ trợ ngăn chặn lây nhiễm tiếp diễn trên các máy đã bị ảnh hưởng.
Có thể giảm rủi ro gián đoạn vận hành, mất dữ liệu và chi phí xử lý sự cố; tuy nhiên các hệ thống đã nhiễm vẫn cần được kiểm tra và làm sạch.
Cơ quan chức năng tại Mỹ, Bulgaria, Hungary và Romania, phối hợp với CrowdStrike và Shadowserver Foundation, đã thực hiện chiến dịch vô hiệu hóa botnet Sality bằng cách sinkhole mạng P2P và thu giữ các tên miền liên quan. Biện pháp này làm gián đoạn khả năng phân phối payload và liên lạc với các máy đã nhiễm, qua đó ngăn việc tiếp tục phát tán mã độc như EggJagger.
Sality được ghi nhận từ năm 2003, có khả năng lây nhiễm file thực thi Windows và phát tán thêm mã độc phục vụ đánh cắp thông tin, spam, proxy, khai thác mạng và DDoS. Theo báo cáo, botnet này đã cho phép kẻ vận hành phân phối payload tới hơn 15.000 máy nhiễm trên toàn cầu. Một số chiến dịch DDoS trước đây cũng được ghi nhận nhắm vào các mục tiêu ở 2016, 2022 và 2023.
Khuyến nghị cho đội kỹ thuật là rà soát dấu hiệu nhiễm trên máy trạm và máy chủ, kiểm tra lưu lượng P2P bất thường, cập nhật quy trình phát hiện file infector, và tăng giám sát các điểm cuối có thể nhận payload từ nguồn không tin cậy. Do đây là chiến dịch triệt phá botnet, không có CVE hay bản vá lỗ hổng phần mềm liên quan.