ГДБОП участва в разбиването на глобална хакерска мрежа, действала над 20 години

България участва в мащабна международна операция по разбиването на Sality – една от най-дълго функциониралите и устойчиви киберпрестъпни ботмрежи в света, действала повече от две десетилетия. В операцията, проведена на 31 август, се включиха още Съединените щати, Унгария и Румъния, с подкрепата на Европол и частни компании за киберсигурност, съобщава Европол на своя уебсайт. 

От българска страна в действията участва Главна дирекция „Борба с организираната престъпност". Американските власти са предприели действия срещу свързани със Sality домейни в САЩ, а правоохранителните органи в България, Унгария и Румъния са работили по инфраструктурата на ботмрежата, разположена в Европа.

Sality е засечена за първи път през 2003 г. и през годините се е превърнала в сложна децентрализирана мрежа от заразени компютри. В пиковите си моменти тя е давала на оператора си достъп до до един милион устройства по света. Над 11 милиона уникални IP адреса са били свързвани с инфраструктурата на ботмрежата.

Заразените компютри са били използвани без знанието на собствениците им за различни незаконни дейности – от разпространяване на зловреден софтуер и спам до DDoS атаки и кражба на криптовалута.

Особено трудна за разбиване е била архитектурата на Sality. За разлика от традиционните ботмрежи, които разчитат на един централен сървър за управление, Sality използва peer-to-peer структура, при която заразените устройства комуникират директно помежду си. Така дори изключването на отделни елементи от мрежата не е достатъчно, за да бъде прекъснат контролът върху нея.

„Това беше най-сложното превземане на ботмрежа, което някога сме правили", заяви изследователят на CrowdStrike Тилман Вернер.

Ключова част от операцията е била т.нар. sinkholing – техника, при която комуникацията на заразените устройства е пренасочена от престъпната инфраструктура към контролирана от разследващите система. По този начин машините са били изолирани от ботмрежата, а каналът за управление на оператора е бил неутрализиран.

Операцията е резултат от години международно сътрудничество. Европол подпомага разследването на Sality още от 2017 г., като координира действията на правоохранителните органи в различни държави. В седмиците преди акцията представители на участващите институции са провеждали регулярни оперативни срещи, за да синхронизират действията си.

В операцията са участвали още ФБР, Министерството на правосъдието на САЩ, Службата за криминални разследвания към Министерството на отбраната на САЩ, Националното бюро за разследване на Унгария, румънската полиция, Европол и Евроюст. Техническа помощ са оказали CrowdStrike и фондация Shadowserver.

Американските власти не са разкрили самоличността на човека или хората, стоящи зад Sality. След неутрализирането на инфраструктурата експертите продължават да наблюдават мрежата, за да установят дали операторът ще направи опит да възстанови контрола или да изгради ботмрежата отново.