Operación internacional para interrumpir la infraestructura del botnet Sality
El 31 de agosto de 2026 se llevó a cabo una operación internacional dirigida contra la infraestructura de la botnet Sality, una red P2P utilizada durante más de dos décadas para distribuir cargas maliciosas en equipos comprometidos. La operación estuvo liderada por autoridades estadounidenses y contó con la participación de organismos de Bulgaria, Hungría y Rumanía, con el apoyo de Europol, Eurojust y empresas privadas especializadas en ciberseguridad. Sality había estado activo desde al menos 2003 y, según Europol, en su momento de mayor actividad podía proporcionar a sus operadores acceso a hasta un millón de equipos infectados; a lo largo de los años se asociaron más de 11 millones de direcciones IP únicas con su infraestructura.
La actuación se dirigió contra los equipos que formaban parte de la infraestructura P2P de Sality y contra los dominios empleados por la botnet. Las autoridades estadounidenses incautaron dominios vinculados a Sality en EE. UU., mientras que las autoridades de Bulgaria, Hungría y Rumanía actuaron sobre infraestructura adicional localizada en Europa. Paralelamente, CrowdStrike y la Shadowserver Foundation proporcionaron capacidades de inteligencia y análisis técnico y ejecutaron una operación de sinkholing P2P, mediante la cual las comunicaciones de los equipos infectados fueron redirigidas desde la infraestructura criminal. Esta actuación permitió aislar los dispositivos comprometidos y dejar inoperativa la capacidad de comunicación utilizada por el operador. Shadowserver comenzó además a colaborar con proveedores de servicios de Internet y equipos de respuesta a incidentes para identificar sistemas infectados y facilitar la notificación y remediación de las víctimas.
Según la información publicada por Europol y los organismos participantes, la operación ha conseguido interrumpir la infraestructura de Sality y dejar inoperativo su canal de control, pero esto no equivale a que el malware haya sido eliminado automáticamente de todos los equipos que habían sido infectados. Las organizaciones participantes mantienen actuaciones destinadas a identificar las infecciones y facilitar la remediación de los sistemas afectados. Europol señala además que la operación es el resultado de varios años de cooperación internacional y que desde 2017 había apoyado a las autoridades en la identificación y desmantelamiento progresivo de componentes de la infraestructura de Sality. En consecuencia, el estado comunicado oficialmente es el de una infraestructura criminal interrumpida, con los equipos que permanecían infectados aislados de la infraestructura del operador y con actuaciones de identificación y remediación de las víctimas todavía en curso.
