Una operación coordinada entre autoridades estadounidenses y europeas, CrowdStrike y otras organizaciones de ciberseguridad ha interrumpido una red criminal que permanecía activa desde 2003

Una operación internacional ha conseguido desarticular la infraestructura de Sality, una de las botnets más longevas y resistentes conocidas. Esta red de ordenadores infectados fue detectada por primera vez en 2003 y, durante más de dos décadas, permitió distribuir programas maliciosos, enviar correo no deseado, lanzar ataques de denegación de servicio y facilitar el robo de criptomonedas.

La intervención fue coordinada por organismos policiales de Estados Unidos y Europa con la colaboración de CrowdStrike, la Fundación Shadowserver y otras entidades especializadas. Según la información difundida por los participantes, Sality conservaba más de 15.000 dispositivos infectados repartidos por diferentes países.

La longevidad de esta infraestructura demuestra que las amenazas informáticas no siempre desaparecen cuando dejan de ocupar titulares. Un programa malicioso puede continuar funcionando durante años si permanece instalado en ordenadores antiguos, sistemas sin actualizar o equipos cuyos propietarios desconocen que han sido comprometidos.

Una red descentralizada diseñada para sobrevivir

Una botnet está formada por dispositivos infectados que pueden recibir instrucciones de un operador sin conocimiento de sus propietarios. Estos equipos, conocidos habitualmente como bots, quedan integrados en una red desde la que pueden participar en actividades criminales de manera coordinada.

Sality utilizaba una arquitectura entre pares o P2P. En lugar de depender exclusivamente de un servidor central, los ordenadores comprometidos podían comunicarse directamente entre ellos para intercambiar órdenes e información. Esta estructura descentralizada dificultaba su desactivación, ya que la eliminación de un servidor no bastaba para interrumpir toda la red.

El programa malicioso también estaba diseñado para infectar archivos ejecutables de Windows y propagarse mediante unidades extraíbles y recursos compartidos. Sus responsables podían emplearlo como vía de entrada para instalar nuevas amenazas, ampliar el control sobre los dispositivos o incorporar funciones adicionales.

Esta capacidad de adaptación convirtió a Sality en una infraestructura especialmente persistente. Incluso cuando algunas partes de la red eran bloqueadas, los equipos restantes podían mantener las comunicaciones y facilitar su recuperación.

Dominios intervenidos y comunicaciones neutralizadas

La operación combinó actuaciones judiciales con medidas técnicas. El Departamento de Justicia de Estados Unidos y el FBI coordinaron la incautación de varios dominios utilizados por los responsables de Sality, mientras que CrowdStrike intervino sobre su sistema de comunicación P2P.

La compañía de ciberseguridad aplicó una técnica conocida como sinkholing. Este procedimiento permite redirigir las comunicaciones de los dispositivos infectados hacia una infraestructura controlada por los investigadores. En este caso, se introdujo información en la red para aislar los equipos comprometidos e impedir que continuaran recibiendo instrucciones del operador criminal.

La intervención se ejecutó el 31 de agosto y fue descrita por CrowdStrike como una de las operaciones de desmantelamiento más complejas realizadas por la compañía. La arquitectura de Sality había sido concebida precisamente para resistir este tipo de actuaciones.

Sin embargo, interrumpir la comunicación no elimina automáticamente el programa malicioso de los ordenadores afectados. Los dispositivos pueden continuar infectados aunque ya no respondan a las órdenes de sus responsables, por lo que sus propietarios todavía deben utilizar herramientas de seguridad para detectar y retirar el software.

El responsable continúa sin identificar

Las autoridades no han identificado públicamente a la persona que controlaba Sality. Tampoco puede descartarse que se produzcan intentos de recuperar parte de la infraestructura o desarrollar una nueva variante empleando técnicas similares.

La operación representa, no obstante, un golpe importante contra una red que había sobrevivido a numerosos cambios tecnológicos. Desde su aparición, Sality atravesó varias generaciones de Windows y una profunda transformación de Internet sin dejar de mantener dispositivos bajo su control.

El caso recuerda la importancia de actualizar los sistemas, utilizar soluciones de seguridad y retirar los equipos que ya no reciben soporte. También refleja la creciente cooperación entre organismos públicos, empresas privadas e investigadores independientes para combatir unas infraestructuras criminales que funcionan simultáneamente en numerosos países.