Una operazione globale pubblico-privata interrompe la botnet Sality attiva da due decenni

Un'operazione internazionale sostenuta da Europol ha interrotto la #botnet peer-to-peer (P2P) di #Sality, un'infrastruttura criminale di lunga data utilizzata per distribuire payload dannosi a migliaia di computer infetti in tutto il mondo.

L'azione coordinata, condotta il 31 agosto 2026 e guidata dalle autorità statunitensi, ha preso di mira una botnet che si ritiene sia operativa da oltre due decenni. Al suo apice, la botnet dava al suo operatore l'accesso a un massimo di un milione di macchine infette in tutto il mondo. Ad oggi, all'infrastruttura sono stati collegati più di 11 milioni di indirizzi IP univoci, che potrebbero essere utilizzati per distribuire payload dannosi a dispositivi compromessi.

L’attività di interruzione ha riunito autorità di Bulgaria, Ungheria, Romania e Stati Uniti, con il sostegno di Europol e dei partner del settore privato CrowdStrike e della Shadowserver Foundation.

Nell'ambito dell'interruzione è stata effettuata un'operazione di sinkholing peer-to-peer per reindirizzare le comunicazioni provenienti da macchine infette lontano dall'infrastruttura criminale. Ciò ha isolato i dispositivi compromessi dalla botnet e ha reso inutilizzabile il canale di comando dell'operatore.

A differenza delle botnet che si basano su un tradizionale server centrale di comando e controllo, le botnet peer-to-peer come Sality utilizzano macchine infette per comunicare direttamente tra loro. Questa struttura decentralizzata li rende particolarmente resilienti e difficili da smantellare, poiché interrompere singole parti dell’infrastruttura non necessariamente fa crollare la rete più ampia.

Per affrontare il problema di Sality è stata quindi necessaria una cooperazione internazionale duratura, durata diversi anni. Dal 2017, Europol ha supportato le autorità preposte all'applicazione della legge in tutto il mondo nella collaborazione per identificare e smantellare le infrastrutture collegate alla botnet, man mano che venivano identificate diverse parti della rete nelle diverse giurisdizioni.

Nelle settimane precedenti l’ultima interruzione, questa cooperazione si è intensificata, con i partner che hanno tenuto chiamate operative settimanali per coordinare le loro azioni. Europol ha sostenuto il coinvolgimento delle autorità preposte all'applicazione della legge in Bulgaria, Ungheria e Romania, contribuendo a coordinare le misure contro l'infrastruttura botnet nelle diverse giurisdizioni.

L'interruzione è stata resa possibile grazie alla stretta collaborazione tra le autorità preposte all'applicazione della legge e i partner del settore privato, che ha riunito intelligence informatica, capacità investigative e competenze tecniche.

Attraverso il Cyber Intelligence Extension Programme ( #CIEP ) di Europol, CrowdStrike e la Shadowserver Foundation hanno collaborato con le autorità preposte all'applicazione della legge, fornendo competenze tecniche e analisi infrastrutturali a supporto dell'interruzione.

Il Centro europeo per la criminalità informatica ( #EC3 ) di Europol ha sostenuto lo scambio e l'analisi dell'intelligence informatica e, insieme alla task force congiunta d'azione contro la criminalità informatica, ha organizzato riunioni operative tra tutti i partner coinvolti. Questi sforzi hanno contribuito a stabilire un quadro operativo comune della botnet e della sua infrastruttura, a facilitare la condivisione di informazioni tra i paesi coinvolti e, in ultima analisi, a sviluppare una strategia coordinata di interruzione.

Segui il blog con il tuo favorito RSS reader (https://noblogo.org/cooperazione-internazionale-di-polizia/feed/) e interagisci con i suoi post nel fediverso (@cooperazione-internazionale-di-polizia@noblogo.org). Scopri dove trovarci: https://l.devol.it/@CoopIntdiPolizia Tutti i contenuti sono CC BY-NC-SA (https://creativecommons.org/licenses/by-nc-nd/4.0/) Le immagini se non diversamente indicato sono di pubblico dominio.