Una dintre cele mai rezistente rețele de hackeri din lume, neutralizată cu ajutorul României. A infectat calculatoare timp de peste 20 de ani
România a participat la o amplă operațiune internațională care a neutralizat Sality, una dintre cele mai longevive infrastructuri de criminalitate cibernetică din lume. Rețeaua funcționa de peste două decenii, iar la apogeu le-ar fi oferit operatorilor acces la până la un milion de calculatoare infectate simultan. Peste 11 milioane de adrese IP unice au fost asociate de-a lungul timpului infrastructurii. Operațiunea, condusă de autoritățile americane, a implicat FBI, Departamentul de Justiție al SUA și autorități din România, Bulgaria și Ungaria, cu sprijinul Europol, Eurojust și al unor companii specializate în securitate cibernetică.
Operațiunea a fost desfășurată pe 31 august 2026, iar primele informații oficiale au fost făcute publice de Departamentul de Justiție al SUA pe 1 septembrie. Europol a anunțat ulterior detaliile acțiunii europene.
Ținta a fost Sality, un malware observat pentru prima dată în 2003 și care, în anii următori, s-a transformat într-o infrastructură complexă prin care infractorii cibernetici puteau controla calculatoare infectate din întreaga lume.
Sality a fost folosit pentru distribuirea altor programe malițioase, furt de date și criptomonede, trimiterea de spam și realizarea unor atacuri informatice.
În spatele rețelei s-ar afla, potrivit companiei americane de securitate cibernetică CrowdStrike, o grupare criminală urmărită sub numele SALTY SPIDER, despre care specialiștii companiei consideră că operează probabil din Republica Bașkortostan, Federația Rusă.
Autoritățile americane și Europol nu au făcut însă o atribuire oficială către Rusia în comunicatele referitoare la operațiune.
România a participat direct la operațiune
Rolul României este confirmat atât de Departamentul de Justiție al SUA, cât și de Europol.
Acțiunea a fost condusă de autoritățile americane și a implicat instituții din patru state: Statele Unite, România, Bulgaria și Ungaria.
Din România a participat Poliția Română, prin Direcția de Combatere a Criminalității Organizate și structura specializată în combaterea criminalității informatice.
Departamentul de Justiție american precizează că autoritățile din România, Bulgaria și Ungaria au intervenit asupra unor domenii asociate Sality care erau găzduite în Europa.
În Statele Unite, Departamentul de Justiție, FBI și Defense Criminal Investigative Service (DCIS) au confiscat domenii asociate infrastructurii Sality.
Operațiunea a beneficiat și de sprijinul Europol și Eurojust, în timp ce din sectorul privat au participat compania de securitate cibernetică CrowdStrike și Shadowserver Foundation.
Americanii au remarcat explicit contribuția autorităților române, bulgare și ungare în comunicatul oficial prin care au anunțat operațiunea.
Peste 11 milioane de adrese IP, asociate de-a lungul timpului rețelei
Dimensiunea Sality este impresionantă, dar cifrele trebuie interpretate cu atenție.
Potrivit Europol, peste 11 milioane de adrese IP unice au fost asociate, de-a lungul timpului, infrastructurii Sality.
Asta nu înseamnă că 11 milioane de calculatoare erau controlate simultan.
La apogeul său, rețeaua îi permitea operatorului accesul la până la un milion de dispozitive infectate la nivel mondial, potrivit Europol.
La momentul operațiunii din august 2026, dimensiunea rețelei active era considerabil mai redusă. CrowdStrike afirmă că infrastructura permitea distribuirea de programe malițioase către peste 15.000 de dispozitive infectate din întreaga lume.
Diferența dintre cifre reflectă longevitatea excepțională a Sality: rețeaua a funcționat în diferite forme timp de peste două decenii.
De ce a fost atât de greu de distrus Sality
Secretul longevității rețelei a fost arhitectura sa.
Un botnet clasic poate avea un server central prin care hackerii transmit comenzile către calculatoarele infectate. Dacă autoritățile identifică și dezactivează acel server, pot întrerupe o mare parte din rețea.
Sality funcționa diferit.
Calculatoarele infectate comunicau direct între ele printr-un sistem peer-to-peer, sau P2P. Nu exista astfel un singur server central a cărui eliminare să distrugă întreaga infrastructură.
Fiecare dispozitiv infectat devenea practic o componentă a rețelei.
Proprietarul calculatorului putea să nu știe că dispozitivul său fusese compromis și că făcea parte dintr-un botnet controlat de infractori.
Europol explică faptul că tocmai această structură descentralizată a făcut Sality extrem de rezistent. Eliminarea unei componente nu era suficientă, deoarece celelalte calculatoare puteau continua să comunice.
Cele două versiuni P2P care mai funcționau în 2026, cunoscute drept Sality v3 și Sality v4, foloseau același nucleu de cod, dar protocoale incompatibile și chei criptografice diferite.
Cum au reușit să o neutralizeze după mai bine de două decenii
Specialiștii au întors chiar mecanismul Sality împotriva operatorilor săi.
Operațiunea a folosit o tehnică denumită „sinkholing”.
În termeni simpli, comunicarea calculatoarelor infectate a fost redirecționată de la infrastructura controlată de infractori către sisteme controlate de specialiștii care participau la operațiune.
CrowdStrike a intervenit asupra listelor prin care calculatoarele infectate găseau alte dispozitive din rețea.
Nodurile legitime folosite de infractori au fost eliminate treptat din aceste liste, iar în locul lor au fost introduse sisteme de tip „sinkhole” controlate de specialiști.
Rezultatul a fost izolarea calculatoarelor infectate.
Operatorul Sality și-a pierdut astfel posibilitatea de a comunica cu ele și de a le transmite noi instrucțiuni sau noi programe malițioase.
„Din perspectiva operatorului, calculatoarele infectate pur și simplu dispar”, explică CrowdStrike în analiza tehnică a operațiunii.
În paralel, autoritățile au intervenit asupra domeniilor și adreselor de internet prin care erau distribuite programele malițioase.
Rețeaua putea fura inclusiv criptomonede
Sality nu era un singur virus cu o singură funcție.
Rolul său principal era să ofere o infrastructură prin care operatorii puteau instala alte programe malițioase pe calculatoarele compromise.
De-a lungul timpului, prin Sality au fost distribuite programe destinate furtului datelor de autentificare, trimiterii de spam, transformării calculatoarelor în servere proxy, exploatării altor vulnerabilități și atacurilor de tip DDoS.
În ultimii aproximativ opt ani, potrivit CrowdStrike, unul dintre principalele programe distribuite prin rețea a fost EggJagger.
Acesta era conceput pentru furtul criptomonedelor printr-o metodă extrem de simplă pentru victimă, dar eficientă pentru infractori.
Programul urmărea clipboard-ul calculatorului – memoria temporară în care ajung informațiile atunci când utilizatorul folosește comenzile „copy” și „paste”.
Dacă detecta o adresă a unui portofel de criptomonede copiată de utilizator, malware-ul putea să o înlocuiască pe ascuns cu o adresă controlată de atacatori.
Victima putea astfel să creadă că transferă criptomonede către adresa pe care tocmai o copiase, când în realitate banii ajungeau în portofelul infractorilor.
Un malware care se putea răspândi singur
O altă caracteristică importantă a Sality era capacitatea de a infecta fișiere executabile.
Malware-ul se atașa de acestea și putea continua să se răspândească prin foldere partajate în rețea, dispozitive de stocare detașabile și schimburi de fișiere.
Acest mecanism a contribuit la supraviețuirea sa.
CrowdStrike arată că noi infectări puteau apărea fără ca operatorul să fie nevoit să organizeze permanent campanii de phishing sau alte atacuri pentru distribuirea malware-ului.
Din 2017, Sality a profitat inclusiv de vulnerabilitatea EternalBlue, cunoscută pentru rolul său în răspândirea unor atacuri informatice de amploare.
FBI: botneturile reprezintă un pericol pentru securitate și economie
Autoritățile americane au prezentat operațiunea drept un exemplu al cooperării dintre instituțiile statului și companiile private de securitate cibernetică.
„Infractorii cibernetici, botneturile și malware-ul reprezintă un pericol clar și imediat pentru securitatea și economia națiunii noastre”, a declarat Bill Essayli, prim-adjunct al procurorului federal pentru Districtul Central al Californiei.
Patrick Grandy, responsabil al biroului FBI din Los Angeles, a declarat că operațiunea arată importanța cooperării internaționale în neutralizarea unor asemenea infrastructuri.
Europol a precizat că lupta împotriva Sality nu a început în 2026. Agenția europeană sprijină autoritățile în operațiunile împotriva infrastructurii acestei rețele încă din 2017.
În săptămânile dinaintea intervenției din 31 august, cooperarea s-a intensificat, iar instituțiile și specialiștii implicați au organizat întâlniri operaționale săptămânale pentru sincronizarea acțiunilor din mai multe jurisdicții.
Calculatoarele infectate nu sunt automat „vindecate”
Neutralizarea infrastructurii Sality nu înseamnă că malware-ul a dispărut automat de pe fiecare calculator infectat.
Operațiunea a întrerupt posibilitatea operatorului de a comunica cu dispozitivele compromise și de a le transmite noi instrucțiuni.
Shadowserver Foundation lucrează acum cu furnizori de internet și echipe specializate de răspuns la incidente informatice pentru identificarea infectărilor, notificarea victimelor și remedierea sistemelor compromise.
CrowdStrike a publicat și indicatori tehnici care permit companiilor și administratorilor de sisteme să verifice dacă dispozitivele lor comunică cu infrastructura către care a fost redirecționată rețeaua Sality.
Operațiunea din 31 august a pus astfel capăt controlului exercitat de operator asupra infrastructurii, însă ultima etapă se desfășoară acum la nivelul dispozitivelor care au rămas infectate după mai bine de două decenii de activitate a Sality.
