โครงสร้างพื้นฐานของ Sality botnet ถูกทลายในปฏิบัติการร่วมระดับโลก

หน่วยงานบังคับใช้กฎหมายระหว่างประเทศ และพันธมิตรภาคเอกชนได้เข้ายึดโครงสร้างพื้นฐานของ Malware ชื่อ Sality ในปฏิบัติการร่วมที่มีเป้าหมายเพื่อขัดขวาง และรื้อถอนเครือข่าย Peer-to-Peer (P2P) Botnet ดังกล่าว

ปฏิบัติการครั้งนี้ได้รับการสนับสนุนจาก Europol และ Eurojust โดยกระทรวงยุติธรรมสหรัฐฯ (DOJ), FBI และ DCIS ได้เข้ายึดโดเมนที่เชื่อมโยงกับ Sality ในสหรัฐฯ ขณะที่เจ้าหน้าที่ในบัลแกเรีย ฮังการี และโรมาเนีย ได้เข้ายึดโดเมนที่เชื่อมโยงกับ Sality ซึ่ง Host อยู่ในยุโรปเพิ่มเติม

ทีม Counter Adversary Operations ของ CrowdStrike ยังได้ร่วมมือกับหน่วยงานบังคับใช้กฎหมายระหว่างประเทศ และพันธมิตรจากภาคเอกชน เพื่อรื้อช่องทางควบคุมของ Botnet ผ่านปฏิบัติการ Peer-to-Peer Sinkhole ซึ่งช่วยแยกเครื่องที่ติด Malware ออกจากเครือข่าย

Sality Botnet ดำเนินการมานานกว่าสองทศวรรษ และนับตั้งแต่ปรากฏครั้งแรกในปี 2003 พบว่ามีอุปกรณ์มากกว่า 15,000 เครื่องติด Malware ดังกล่าว โดย CrowdStrike ระบุว่า Sality ถูกควบคุมโดยกลุ่มอาชญากรที่บริษัทติดตามในชื่อ SALTY SPIDER ซึ่งคาดว่าน่าจะปฏิบัติการอยู่ในสาธารณรัฐบัชคอร์โตสถาน ประเทศรัสเซีย

DOJ ระบุว่า “คอมพิวเตอร์ของเหยื่อที่ติด Sality เป็นส่วนหนึ่งของ Peer-to-Peer (P2P) Botnet ซึ่งเป็นเครือข่ายคอมพิวเตอร์ (โดยแต่ละเครื่องเรียกว่า ‘Bot’) ที่ติด Malware Sality และอยู่ภายใต้การควบคุมของผู้ปฏิบัติการ Sality”

ตามข้อมูลของ CrowdStrike เครือข่าย Sality Botnet จำนวน 2 เครือข่ายที่ยังคงทำงานอยู่ในช่วงเวลาที่มีการรื้อถอนในสัปดาห์นี้ ถูกใช้เป็นหลักเพื่อส่ง Payload ของ Malware ชื่อ EggJagger ผ่านการโจมตีแบบ Clipjacking

CrowdStrike ระบุว่า “ตลอดระยะเวลาที่ Sality ดำเนินการมา มันได้เผยแพร่ Malware หลากหลายตระกูล ซึ่งครอบคลุมตั้งแต่การขโมย Credential, การกระจาย Spam, บริการ Proxy, การโจมตี Network Exploitation ไปจนถึงการโจมตีแบบ Distributed Denial-of-Service (DDoS) โดยตลอด 8 ปีที่ผ่านมา Payload หลักคือ EggJagger ซึ่งเป็นเครื่องมือ Clipjacking ที่ตรวจสอบ Clipboard เพื่อค้นหา Address ของ Cryptocurrency Wallet และแอบเปลี่ยน Address เหล่านั้นเป็น Address ที่อยู่ภายใต้การควบคุมของผู้ปฏิบัติการ”

เจ้าหน้าที่ได้ขัดขวางการทำงานของ P2P Botnet ด้วยการทำ Sinkhole รายการ Super Peer ที่รู้จักของ Sality ซึ่งทำหน้าที่เป็นโครงสร้างหลักในการสื่อสารของ Botnet วิธีการดังกล่าวช่วยป้องกันไม่ให้ File Pack (การส่ง Payload โดยตรง) และ URL Pack (คำสั่งสำหรับดาวน์โหลด Payload) แพร่กระจายต่อไป รวมถึงช่วยล้างรายชื่อ Peer ออกจากเครื่องที่ติด Malware

CrowdStrike ระบุเพิ่มเติมว่า “หลังจากดำเนินการมาอย่างต่อเนื่องนานกว่าสองทศวรรษ CrowdStrike พร้อมด้วยหน่วยงานบังคับใช้กฎหมายระหว่างประเทศ และพันธมิตรในอุตสาหกรรม ได้ดำเนินปฏิบัติการขัดขวาง Sality Botnet จนประสบความสำเร็จ และขณะนี้ Botnet ไม่ได้อยู่ภายใต้การควบคุมของผู้ปฏิบัติการอีกต่อไป”

นับตั้งแต่ต้นปีที่ผ่านมา หน่วยงานบังคับใช้กฎหมายทั่วโลกยังได้รื้อถอนปฏิบัติการอาชญากรรมไซเบอร์อีกหลายรายการ ซึ่งเป็นส่วนหนึ่งของความร่วมมือระหว่างประเทศ

ในเดือนมีนาคม หน่วยงานของสหรัฐฯ และยุโรป ร่วมกับพันธมิตรภาคเอกชน ได้ขัดขวางเครือข่าย Proxy สำหรับอาชญากรรมไซเบอร์ SocksEscort และรื้อโครงสร้างพื้นฐาน Command and Control (C2) ที่ใช้โดย Botnet ได้แก่ Aisuru, KimWolf, JackSkid และ Mossad

ล่าสุดในเดือนพฤษภาคม เจ้าหน้าที่เนเธอร์แลนด์ได้ทำให้ Botnet ขนาดใหญ่ที่มีอุปกรณ์อยู่ในเครือข่ายมากถึง 17 ล้านเครื่องหยุดทำงาน ขณะที่ปฏิบัติการที่นำโดย FBI สามารถขัดขวางแพลตฟอร์มสำหรับการเจาะระบบ QScan และ QTRouter ซึ่งถูกใช้โดยกลุ่ม Chinese Cyber-Espionage ได้

ที่มา : bleepingcomputer