Un réseau de machines infectées actif depuis 2003 vient d’être coupé de son opérateur. Le ministère américain de la Justice, le FBI, CrowdStrike, la Shadowserver Foundation et plusieurs services européens ont mené une opération coordonnée contre Sality, une famille de logiciels malveillants connue pour voler des cryptomonnaies, distribuer d’autres charges et participer à des cyberattaques. Des domaines ont été saisis aux États-Unis et en Europe, tandis que le réseau pair-à-pair du botnet a été détourné vers des serveurs contrôlés par les défenseurs.
L’opération n’est pas présentée comme l’arrestation du responsable, qui n’a pas été publiquement identifié. Elle vise l’infrastructure et les mécanismes de communication. La nuance est importante : les ordinateurs compromis ne sont pas automatiquement nettoyés. Ils cessent de recevoir les ordres de l’opérateur et se signalent désormais à des systèmes de collecte, ce qui doit permettre aux fournisseurs d’accès et aux équipes de réponse aux incidents de prévenir les victimes.
Pourquoi Sality a résisté pendant plus de vingt ans
Un botnet classique dépend d’un serveur de commande central. Chaque machine infectée s’y connecte pour recevoir une instruction ou télécharger un nouveau programme. Fermer ce serveur peut suffire à désorganiser l’ensemble. Sality utilisait au contraire une architecture pair-à-pair, dans laquelle les ordinateurs infectés échangeaient entre eux des listes de voisins et des paquets signés. Il n’existait donc pas un unique point d’arrêt.
Cette conception ressemble, dans son principe, à certains réseaux de partage de fichiers : chaque nœud aide à diffuser l’information. Sality ajoutait des super-pairs chargés de structurer les échanges, des listes d’adresses menant vers de nouvelles charges et une vérification cryptographique destinée à empêcher un tiers d’envoyer facilement de fausses commandes. Même si des domaines disparaissaient, les machines pouvaient continuer à s’indiquer mutuellement où trouver le réseau.
La famille a évolué pendant plus de deux décennies. Le ministère américain de la Justice indique qu’elle a permis des vols de cryptomonnaies et des attaques aux États-Unis comme à l’étranger. Reuters mentionne également l’envoi de spam et les dénis de service distribués. Le nombre exact de machines encore actives n’est pas fourni dans le communiqué, ce qui invite à ne pas confondre la longévité de Sality avec une estimation actuelle de sa taille.
CrowdStrike a retourné le protocole pair-à-pair contre le botnet
Pour démanteler Sality, CrowdStrike n’a pas seulement tenté de bloquer des adresses. Ses chercheurs ont étudié le protocole de vérification entre pairs et trouvé un moyen d’invalider les entrées légitimes présentes dans les listes de voisins des machines infectées. Ils ont ensuite injecté les adresses de serveurs de sinkhole, ou puits de collecte, à la place des super-pairs utilisés par l’opérateur.
Le récit technique de l’opération explique que les super-pairs ont été ciblés en premier, car ils formaient l’ossature de communication. Pour les ordinateurs placés derrière un pare-feu ou une traduction d’adresses réseau, impossibles à contacter directement, l’équipe a attendu leur cycle normal de maintenance. Lorsqu’ils interrogeaient un nœud désormais contrôlé, leur liste était purgée puis remplacée. Du point de vue du responsable, les machines disparaissaient progressivement.
En parallèle, les autorités ont fermé des domaines et adresses Web qui hébergeaient les charges proposées par Sality. Cette deuxième action évite qu’un appareil disposant encore d’une ancienne liste télécharge un fichier malveillant pendant la transition. Les États-Unis ont saisi des domaines sur leur territoire ; des partenaires en Bulgarie, Hongrie et Roumanie ont agi contre des éléments hébergés en Europe, avec l’aide d’Eurojust et d’Europol.
La stratégie illustre l’intérêt d’une coopération entre chercheurs et justice. Les premiers peuvent comprendre et détourner le protocole, mais n’ont pas seuls le pouvoir de saisir un domaine. Les autorités peuvent ordonner une fermeture, mais une opération purement juridique serait moins efficace contre une architecture décentralisée. La synchronisation des deux réduit les chemins de repli au même moment.
Les machines infectées doivent encore être réparées
La Shadowserver Foundation travaille avec les fournisseurs d’accès et les équipes nationales de réponse afin d’identifier les connexions vers les sinkholes et d’avertir les organisations concernées. CrowdStrike publie aussi une adresse IP de repérage et des règles YARA capables de rechercher en mémoire les clés utilisées par Sality. Ces indicateurs s’adressent aux administrateurs ; ils ne doivent pas conduire un particulier à manipuler au hasard son pare-feu ou supprimer des fichiers système.
Un ordinateur qui contacte le sinkhole reste compromis. Il peut contenir d’autres charges, des identifiants volés ou des modifications persistantes. La remédiation demande une analyse de l’appareil, la mise à jour des logiciels, la rotation des mots de passe utilisés depuis la machine et, selon la gravité, une réinstallation. Sur un réseau d’entreprise, il faut aussi rechercher les mouvements latéraux et vérifier les journaux plutôt que traiter uniquement le premier poste détecté.
Le dossier rappelle que des équipements anciens peuvent rester connectés très longtemps. KultureGeek a récemment rapporté la découverte de portes dérobées dans des routeurs Zbtlink et l’appel de plus de cent entreprises à une défense collective contre les cyberattaques. Dans les deux cas, l’enjeu dépasse la correction ponctuelle : il faut pouvoir identifier les systèmes vulnérables et joindre leurs propriétaires.
L’opérateur de Sality pourrait tenter de reconstruire une infrastructure ou de modifier le protocole. Le détournement actuel lui retire néanmoins un actif accumulé pendant plus de vingt ans : un ensemble de machines compromises capables de se retrouver les unes les autres. La réussite se mesurera maintenant au recul durable des connexions, au nombre de victimes effectivement prévenues et à l’absence de nouvelle variante reprenant le contrôle des appareils encore infectés.
