Un million d’ordinateurs piratés : ce gigantesque botnet russe a fait des ravages pendant plus de 20 ans !
Actif depuis plus de vingt ans, un mystérieux botnet russe vient de cesser ses activités. Le réseau criminel a été neutralisé lors d’une opération internationale impliquant Europol, le FBI et les polices de plusieurs pays. Avant de disparaître, le botnet a infecté plus d’un million d’ordinateurs dans le monde.
L’un des botnets les plus anciens et les plus résilients de l’histoire de la cybercriminalité vient de tomber. Ce 31 août 2026, une coalition internationale, composée des autorités de plusieurs pays et de plusieurs entreprises privées, a mis un point final aux activités de Sality, un réseau de machines zombies actif depuis plus de vingt ans. Le botnet a permis aux cybercriminels de prendre le contrôle d’un million d’ordinateurs à travers le globe.
Un botnet décentralisé qui propage une armée de virus
Sality n’est pas un botnet comme les autres. Contrairement aux autres botnets qui menacent Internet, il fonctionne en pair-à-pair (peer-to-peer, ou P2P) et ne dépend pas d’un serveur central de commande. Chaque machine infectée peut communiquer directement avec d’autres machines infectées, par le biais d’une infrastructure décentralisée. Cette approche explique la résilience du botnet, car il est beaucoup plus compliqué de démanteler un botnet décentralisé qu’un botnet reposant sur un serveur central. En effet, comme l’explique Europol dans un communiqué, « la perturbation de certains éléments de l’infrastructure n’entraîne pas nécessairement la paralysie de l’ensemble du réseau ».
Sality, actif depuis 2003, est attribué à un groupe de pirates baptisé SALTY SPIDER, vraisemblablement basé en république du Bachkortostan, en Russie. Au fil de sa longue existence, Sality a été massivement exploité pour distribuer toutes sortes de logiciels malveillants, notamment spécialisés dans le vol d’identifiants, l’envoi massif de spams, l’exploitation de failles réseau, ou les attaques par déni de service distribué (DDoS).
Depuis huit ans, le botnet s’est concentré sur la propagation d’EggJagger, un virus spécialisé dans le vol de cryptomonnaies. Lorsque la cible copie l’adresse d’un portefeuille de cryptomonnaie pour effectuer un paiement, le logiciel malveillant intercepte cette information et la remplace, sans que la victime s’en aperçoive, par l’adresse des attaquants. De facto, la victime envoie des cryptos directement sur l’adresse des cybercriminels.
Comment l’infrastructure de Sality a-t-elle été neutralisée ?
L’enquête sur les agissements de Sality a débuté il y a plusieurs années. En 2017, Europol a identifié différentes composantes de son infrastructure dans plusieurs pays. En parallèle, les autorités américaines se sont également penchées sur les activités du botnet. Sur la base des informations recueillies, un coup de filet d’envergure a été organisé le 31 août 2026. Les forces de l’ordre américaines, dont le FBI, ont saisi les noms de domaine liés à Sality hébergés aux États-Unis. Les polices bulgare, hongroise et roumaine ont fait de même avec les domaines hébergés en Europe.
Le même jour, les experts de CrowdStrike ont pris le contrôle des « super-nœuds » de Sality, c’est-à-dire les ordinateurs qui servent de relais principaux pour faire circuler l’information dans tout le réseau. En s’en emparant, les chercheurs ont pu empêcher la diffusion de nouvelles instructions de téléchargement vers les machines infectées. Ils ont également effacé les carnets d’adresses que ces machines utilisaient pour communiquer entre elles. Les communications des ordinateurs compromis ont été redirigées loin de l’infrastructure criminelle, isolant chaque machine infectée. Les pirates ont donc perdu le contrôle du réseau et de toutes les machines compromises.
Le démantèlement de Sality s’inscrit dans une série d’opérations internationales menées depuis le début de l’année contre des infrastructures criminelles très actives. En mars, les autorités américaines et européennes avaient déjà neutralisé SocksEscort, tout en désactivant les serveurs de commande de plusieurs botnets. Deux mois plus tard, aux Pays-Bas, la police a neutralisé un botnet géant regroupant pas moins de 17 millions d’appareils.
Source : Europol
