Autorități din Statele Unite, Bulgaria, Ungaria și România, sprijinite de Europol și de parteneri privați, au destructurat la 31 august 2026 infrastructura Sality. Botnetul peer-to-peer funcționa de peste două decenii și putea livra programe malițioase către calculatoare deja infectate. Operațiunea a izolat dispozitivele de canalul operatorului prin redirecționarea comunicațiilor către infrastructură controlată de apărători.
Ce este confirmat și cum trebuie citite cifrele
Departamentul de Justiție al SUA confirmă operațiunea, confiscarea unor domenii asociate și participarea Poliției Române prin structura de combatere a criminalității informatice. Europol spune că peste 11 milioane de adrese IP unice au fost asociate infrastructurii de-a lungul timpului și că, la vârf, operatorul putea controla până la un milion de sisteme. Aceste valori nu reprezintă 11 milioane de persoane afectate simultan și nu trebuie transformate într-un număr actual de victime.
CrowdStrike, partener tehnic al operațiunii, descrie peste 15.000 de calculatoare care încă primeau sarcini prin rețea înaintea intervenției. Compania explică faptul că Sality infecta fișiere executabile și se putea răspândi prin foldere de rețea, medii amovibile și schimb de fișiere. În ultimii ani, una dintre încărcăturile principale urmărea înlocuirea adreselor de portofel cripto copiate în clipboard.
De ce o operațiune reușită nu închide incidentul local
- Un calculator izolat de botnet poate păstra fișiere infectate, persistență sau alte programe malițioase instalate anterior.
- Un domeniu confiscat ori un canal de comandă oprit nu demonstrează că parolele, tokenurile sau datele expuse anterior sunt din nou sigure.
- Stațiile vechi, neadministrate sau folosite ocazional pot reveni în rețea după operațiune și pot reactiva riscul local prin fișiere infectate.
- Remedierea trebuie să includă inventar, izolare, analiză, restaurare controlată și rotația credențialelor atunci când dovezile o cer.
- Comunicarea internă trebuie să distingă între „botnet destructurat”, „sistem detectat” și „sistem verificat și curățat”.
Deciziile pe care trebuie să le exerseze fiecare rol
- IT inventariază stațiile Windows vechi, sistemele fără agent de securitate, folderele partajate și folosirea mediilor USB.
- SOC-ul verifică telemetria și indicatorii publicați de partenerii operațiunii, apoi separă o conexiune observată de confirmarea completă a compromiterii.
- Help desk-ul nu le cere utilizatorilor să șteargă singuri fișiere și nu declară dispozitivul sigur doar fiindcă antivirusul a închis o alertă.
- Identity team stabilește când trebuie revocate sesiuni și rotite credențiale de pe un dispozitiv posibil compromis.
- Managementul decide cine poate opri accesul unei stații importante, cum continuă activitatea și ce dovadă este necesară pentru revenirea în producție.
- Comunicarea explică utilizatorilor ce trebuie raportat fără să promită că operațiunea globală a eliminat toate infecțiile locale.
Tabletop: stația care continuă să comunice după destructurare
Exercițiul poate fi rulat în 30–45 de minute cu IT, SOC, help desk, identity, continuitate și management. Pentru fiecare etapă, echipa notează decizia, ownerul, termenul și dovada cerută.
- Inject 1 — un sistem de detecție semnalează trafic asociat sinkhole-ului Sality de la o stație folosită pentru operațiuni financiare. Cine o izolează și cine aprobă întreruperea?
- Inject 2 — utilizatorul spune că are un transfer urgent și conectează laptopul personal pentru a continua. Cum evitați mutarea riscului pe un dispozitiv neadministrat?
- Inject 3 — scanarea elimină un fișier, dar nu există o cronologie a accesului și nici certitudine privind alte încărcături. Este curățarea suficientă sau reconstruiți sistemul?
- Inject 4 — pe un folder partajat apar executabile modificate. Ce sisteme extindeți în investigație și cum protejați dovezile?
- Inject 5 — conducerea cere mesajul „incident închis”. Ce criterii măsurabile trebuie îndeplinite înaintea acestei formulări?
Ce măsori după exercițiu
- Timpul până la identificarea stației, utilizatorului și ownerului de business.
- Timpul până la izolare și la convocarea rolurilor tehnice și operaționale.
- Procentul participanților care cer verificarea altor încărcături și a credențialelor, nu doar ștergerea fișierului detectat.
- Capacitatea de a demonstra sursa restaurării și starea actualizărilor înainte de reconectare.
- Calitatea separării dintre un fapt confirmat, o ipoteză de compromitere și o remediere verificată.
Pentru Learning Awarely, Sality este un caz util tocmai fiindcă știrea bună poate crea o concluzie greșită. Echipele trebuie să învețe că o victorie la nivel de infrastructură reduce capacitatea atacatorului, dar închiderea fiecărui incident rămâne o decizie locală bazată pe dovezi.