США и Европа нарушили работу ботнета Sality для кражи криптовалют

• Международная операция нарушила работу P2P-ботнета Sality, активного с 2003 года.
• В последние годы его инфраструктуру использовали в том числе для кражи криптоактивов.
• С ботнетом связали более 11 млн уникальных IP-адресов.

Министерство юстиции США сообщило о международной операции по нарушению работы ботнета Sality, который использовали для распространения вредоносного ПО, кибератак и кражи криптовалют.

Операцию провели 31 августа 2026 года власти США, Болгарии, Венгрии и Румынии при поддержке Европола и Евроюста. В ней также участвовали организации CrowdStrike и Shadowserver Foundation.

Американские и европейские правоохранители изъяли связанные с Sality домены, а специалисты CrowdStrike провели операцию sinkhole, изолировав зараженные устройства от операторов ботнета.

По данным Европола, за время существования с инфраструктурой Sality были связаны более 11 млн уникальных IP-адресов. На пике оператор мог контролировать до 1 млн зараженных устройств одновременно. На момент операции сеть позволяла распространять вредоносные программы более чем на 15 000 машин по всему миру.

Что известно о Sality

Sality появился в 2003 году и со временем превратился из файлового вируса в децентрализованный P2P-ботнет. В отличие от традиционных сетей с центральным сервером управления, зараженные устройства напрямую обменивались командами друг с другом, что позволяло инфраструктуре сохранять работоспособность даже после отключения отдельных узлов.

Через Sality распространяли программы для кражи учетных данных, прокси-инструменты и вредоносное ПО для DDoS-атак. Последние восемь лет одним из основных компонентов был EggJagger — клиппер, который отслеживал скопированные адреса биткоин- и Ethereum-кошельков и подменял их реквизитами злоумышленника.

По оценке CrowdStrike, таким способом оператор Sality похитил не менее $150 000 в криптовалютах. Компания подчеркнула, что эта сумма относится только к EggJagger и не учитывает другие источники дохода ботнета.

Для отключения сети специалисты воспользовались особенностью ее архитектуры. Они удаляли из списков зараженных устройств действующие узлы Sality и заменяли их контролируемыми sinkhole-серверами. В результате оператор потерял возможность передавать ботам новые команды и вредоносные файлы.

Shadowserver совместно с интернет-провайдерами и командами реагирования на киберинциденты занимаются выявлением оставшихся зараженных устройств и уведомлением их владельцев.

При этом в CrowdStrike считают, что Sality имеет российские корни. К такому выводу в компании пришли, отслеживая вероятного оператора сети — киберпреступную группировку SALTY SPIDER.

Отметим, с начала 2025 года общий ущерб от инцидентов в сфере кибербезопасности со стороны криптоплатформ составил $3,63 млрд.

Источник