Poucas ameaças conseguem permanecer relevantes na internet por mais de duas décadas. A Sality conseguiu. Surgida em 2003, a ameaça evoluiu de um vírus capaz de infectar arquivos para uma botnet P2P resistente e utilizada na distribuição de diferentes tipos de malware.
Essa história ganhou um capítulo decisivo em 31 de agosto de 2026. Uma operação coordenada pela CrowdStrike com autoridades internacionais e parceiros da indústria interrompeu a infraestrutura da Sality e isolou as máquinas infectadas do operador da botnet.
Segundo a CrowdStrike, mais de 15 mil computadores ainda faziam parte da infraestrutura maliciosa. A ação contou com a participação do Departamento de Justiça dos Estados Unidos, FBI, Defense Criminal Investigative Service e Shadowserver Foundation, além do apoio da Europol, Eurojust e autoridades da Bulgária, Hungria e Romênia.
De vírus de arquivos a uma botnet resistente
A Sality apareceu pela primeira vez em 2003 como um malware capaz de se anexar a arquivos executáveis. A infecção podia se espalhar por compartilhamentos de rede, dispositivos removíveis e sistemas de compartilhamento de arquivos.
Com o passar dos anos, a ameaça evoluiu para duas redes P2P independentes, conhecidas como versões 3 e 4. Elas compartilhavam a mesma base de código, mas utilizavam protocolos incompatíveis e chaves criptográficas diferentes.
Essa arquitetura ajudou a manter a operação viva por tanto tempo. Diferentemente de botnets tradicionais, que dependem de servidores centrais de comando e controle, a Sality permitia que computadores infectados se comunicassem diretamente.
Sem um servidor central para simplesmente desligar, derrubar a infraestrutura era um problema consideravelmente mais complicado. Vinte e três anos de atividade mostram que a estratégia funcionou bem. Até deixar de funcionar.
Sality virou plataforma para diferentes ataques
A principal função da Sality era entregar novos códigos maliciosos aos computadores comprometidos. Durante sua longa existência, a infraestrutura foi usada para distribuir ameaças relacionadas ao roubo de credenciais, envio de spam, serviços de proxy, exploração de redes e ataques DDoS.
Nos últimos anos, uma das principais cargas distribuídas foi o EggJagger, malware especializado em sequestrar informações copiadas para a área de transferência.
O funcionamento era simples e perigoso. Quando a vítima copiava um endereço de carteira de criptomoedas para realizar uma transferência, o malware podia substituir silenciosamente aquele endereço por uma carteira controlada pelo criminoso.
Segundo estimativas apresentadas pela CrowdStrike, essa técnica rendeu pelo menos US$ 150 mil ao operador.
A infraestrutura também esteve associada a campanhas DDoS. Entre os episódios documentados pela empresa está um ataque realizado em 25 de fevereiro de 2022 contra um fórum ucraniano, um dia após o início da invasão russa em grande escala da Ucrânia.
Como a operação conseguiu derrubar a Sality
O ponto mais interessante da operação está justamente na forma como a arquitetura P2P foi usada contra a própria botnet.
Cada máquina infectada mantinha uma lista de chamados super peers, computadores publicamente acessíveis que ajudavam a sustentar a comunicação da rede. Aproximadamente a cada 40 minutos, os bots verificavam se esses peers continuavam disponíveis.
Os pesquisadores exploraram esse mecanismo para remover progressivamente peers legítimos das listas e inserir servidores sinkhole controlados pelos defensores.
Na prática, o computador continuava infectado, mas deixava de conversar com a infraestrutura controlada pelo criminoso.
Esse detalhe é importante. A operação interrompeu o canal utilizado pelo operador para enviar novas instruções e payloads, mas não significa que todo malware previamente instalado desapareceu magicamente das máquinas.
Domínios também foram apreendidos
A operação não ficou restrita à manipulação da rede P2P.
Autoridades dos Estados Unidos apreenderam domínios associados à Sality, enquanto ações semelhantes foram realizadas na Bulgária, Hungria e Romênia. O objetivo foi bloquear também os endereços utilizados para hospedar arquivos maliciosos e impedir que máquinas com instruções antigas continuassem baixando payloads.
A Shadowserver Foundation está trabalhando com provedores de internet e equipes de resposta a incidentes para identificar dispositivos infectados e auxiliar na notificação das vítimas.
A botnet caiu, mas as máquinas ainda precisam ser limpas
Para empresas e profissionais de segurança, existe um ponto que não pode passar despercebido: interromper a botnet não equivale a limpar os computadores.
A CrowdStrike alerta que malwares já presentes nos sistemas continuam ativos e precisam ser removidos. A empresa publicou indicadores técnicos que podem ajudar equipes de segurança a identificar infecções da Sality em seus ambientes.
Isso transforma a derrubada em apenas parte do trabalho. Agora começa a etapa menos cinematográfica, mas igualmente importante: encontrar máquinas comprometidas, eliminar as infecções e entender o que aconteceu enquanto elas estavam sob controle da botnet.
Uma ameaça de 2003 finalmente perde sua rede
A queda da Sality mostra que arquiteturas P2P podem tornar uma botnet extremamente resistente, mas não necessariamente indestrutível.
O mesmo mecanismo descentralizado que ajudou a ameaça a sobreviver durante mais de duas décadas acabou oferecendo aos pesquisadores uma oportunidade para manipular sua comunicação e isolar os computadores infectados.
Depois de 23 anos, milhares de máquinas comprometidas e diferentes campanhas maliciosas, a Sality perdeu o acesso à própria rede.
Para uma botnet que nasceu quando Windows XP ainda era novidade, até que demorou bastante.
