Służby rozbiły potężny botnet. Cyberprzestępcy wykorzystywali go ponad 20 lat

Skoordynowane działania przeprowadzono 31 sierpnia 2026 roku pod przewodnictwem władz Stanów Zjednoczonych. W operacji uczestniczyły służby z Bułgarii, Węgier, Rumunii i USA, a wsparcia udzielili Europol, CrowdStrike oraz Shadowserver Foundation.

Według Europolu, Sality funkcjonował przez ponad dwie dekady. Do tej pory z jego infrastrukturą powiązano ponad 11 mln unikalnych adresów IP. Botnet mógł służyć m.in. do dostarczania złośliwych plików i innych szkodliwych komponentów na przejęte komputery.

Jak udało się odciąć zainfekowane urządzenia?

Kluczowym elementem operacji był tzw. sinkholing. Polega on na przekierowaniu komunikacji z zainfekowanych urządzeń z dala od infrastruktury kontrolowanej przez cyberprzestępców.

W efekcie maszyny należące wcześniej do botnetu zostały odizolowane od jego operatora, a wykorzystywany przez niego kanał komunikacyjny przestał działać.

Sality był jednak trudnym celem. W przeciwieństwie do klasycznych botnetów korzystających z centralnego serwera command-and-control, w sieciach peer-to-peer zainfekowane urządzenia mogą komunikować się bezpośrednio ze sobą.

Oznacza to, że wyłączenie pojedynczego serwera nie wystarcza do zatrzymania całej infrastruktury.

Wieloletnia operacja

Europol wspierał działania przeciwko Sality od 2017 roku. Poszczególne elementy infrastruktury były identyfikowane i eliminowane w wielu państwach, a w tygodniach poprzedzających najnowszą operację partnerzy prowadzili regularne spotkania koordynacyjne.

Wsparcie techniczne zapewniły m.in. CrowdStrike i Shadowserver Foundation w ramach programu Cyber Intelligence Extension Programme Europolu. Europejskie Centrum ds. Walki z Cyberprzestępczością pomagało z kolei w wymianie i analizie informacji o zagrożeniu.

Połączenie danych technicznych, działań śledczych i współpracy wielu państw pozwoliło opracować skoordynowaną strategię wymierzoną w infrastrukturę Sality i ostatecznie zakłócić jej funkcjonowanie.