Infrastruktur Botnet Sality Dibongkar dalam Operasi Global Bersama

Penegak hukum internasional bersama sejumlah perusahaan keamanan siber berhasil membongkar infrastruktur Sality, salah satu botnet malware yang telah beroperasi selama lebih dari dua dekade.

Operasi gabungan tersebut menargetkan infrastruktur peer-to-peer (P2P) yang digunakan untuk mengendalikan perangkat yang telah terinfeksi malware Sality. Dalam operasi ini, U.S. Department of Justice (DOJ), FBI, dan DCIS menyita sejumlah domain yang terkait dengan Sality di Amerika Serikat.

Sementara itu, mitra penegak hukum di Bulgaria, Hungaria, dan Rumania menyita domain Sality lainnya yang di-host di Eropa.

Tim CrowdStrike Counter Adversary Operations juga bekerja sama dengan penegak hukum dan mitra industri untuk melakukan sinkholing terhadap jalur komunikasi botnet, sehingga mesin yang masih terinfeksi dapat diisolasi dari operatornya.

Sality Telah Beroperasi Sejak 2003

Sality pertama kali muncul sekitar 2003 dan telah menginfeksi lebih dari 15.000 perangkat selama sejarah operasinya.

Berbeda dari botnet yang menggunakan satu server Command and Control (C2) terpusat, Sality menggunakan arsitektur peer-to-peer. Dalam model tersebut, komputer yang terinfeksi dapat saling berkomunikasi untuk mempertahankan jaringan botnet dan menerima instruksi dari operator.

CrowdStrike mengaitkan operasi Sality dengan kelompok kriminal yang dilacak sebagai SALTY SPIDER. Kelompok tersebut diperkirakan beroperasi dari Republik Bashkortostan di Rusia.

Dua Jaringan Sality Masih Aktif

Ketika operasi takedown dilakukan, CrowdStrike menemukan masih terdapat dua jaringan Sality yang aktif.

Kedua jaringan tersebut terutama digunakan untuk mendistribusikan payload EggJagger, malware yang dimanfaatkan dalam serangan clipjacking.

EggJagger memiliki kemampuan untuk memantau clipboard komputer korban. Ketika pengguna menyalin alamat cryptocurrency wallet, malware dapat mendeteksi alamat tersebut dan menggantinya secara diam-diam dengan alamat wallet yang dikendalikan operator.

Akibatnya, korban dapat mengira bahwa alamat wallet yang ditempel saat melakukan transaksi adalah alamat yang benar, padahal alamat tersebut telah dimanipulasi oleh malware.

Sality Pernah Menyebarkan Berbagai Jenis Malware

Aktivitas Sality tidak selalu terbatas pada EggJagger.

Selama lebih dari 20 tahun, botnet tersebut digunakan untuk mendistribusikan berbagai keluarga malware dan menjalankan beragam aktivitas berbahaya, termasuk:

• Pencurian kredensial
• Distribusi spam
• Penyediaan layanan proxy
• Eksploitasi jaringan
• Serangan distributed denial-of-service (DDoS)

Namun, dalam sekitar delapan tahun terakhir, EggJagger menjadi payload utama yang didistribusikan melalui jaringan Sality.

Perubahan tersebut menunjukkan bagaimana infrastruktur botnet lama dapat terus dipertahankan dan digunakan kembali untuk mendukung jenis kejahatan siber yang berbeda.

Sinkhole Memutus Komunikasi Botnet

Untuk mengganggu jaringan P2P Sality, CrowdStrike dan mitra penegak hukum menggunakan teknik sinkholing terhadap daftar super peers yang diketahui.

Super peers berperan sebagai bagian penting dari infrastruktur komunikasi Sality. Dengan mengalihkan komunikasi tersebut ke infrastruktur yang dikendalikan pihak penegak hukum dan mitranya, mereka dapat mengganggu kemampuan botnet dalam mendistribusikan instruksi maupun payload.

Operasi tersebut secara khusus menargetkan dua jenis paket komunikasi yang digunakan Sality:

• File packs, yang membawa transfer payload secara langsung
• URL packs, yang berisi instruksi untuk mengunduh payload

Selain menghambat distribusi payload baru, operasi sinkhole juga digunakan untuk membersihkan daftar peer pada perangkat yang telah terinfeksi.

Dengan terputusnya jalur komunikasi tersebut, komputer yang masih berada dalam jaringan Sality dapat diisolasi dari operatornya.

Sality Kini Tidak Lagi Dikendalikan Operator

CrowdStrike menyatakan bahwa operasi tersebut berhasil mengganggu botnet setelah lebih dari dua dekade beroperasi.

Dengan infrastruktur komunikasi yang disinkhole serta domain terkait yang disita di Amerika Serikat dan Eropa, Sality kini disebut tidak lagi berada di bawah kendali operatornya.

Meski demikian, perangkat yang sebelumnya telah terinfeksi tidak otomatis menjadi bersih hanya karena infrastruktur botnet telah dibongkar. Takedown terutama bertujuan memutus kemampuan operator dalam mengendalikan dan menggunakan jaringan tersebut.

Operasi Internasional Terhadap Botnet Terus Berlanjut

Operasi terhadap Sality menjadi bagian dari rangkaian tindakan internasional untuk mengganggu infrastruktur kejahatan siber.

Pada Maret 2026, penegak hukum Amerika Serikat dan Eropa bersama mitra swasta mengganggu jaringan proxy kriminal SocksEscort, sekaligus membongkar infrastruktur Command and Control yang digunakan sejumlah botnet seperti Aisuru, KimWolf, JackSkid, dan Mossad.

Kemudian pada Mei, otoritas Belanda berhasil mengganggu botnet yang disebut memiliki sekitar 17 juta perangkat terinfeksi.

Operasi yang dipimpin FBI juga sebelumnya menargetkan platform hacking QScan dan QTRouter, yang digunakan dalam aktivitas terkait kelompok cyber-espionage asal China.

Rangkaian operasi tersebut memperlihatkan semakin kuatnya koordinasi antara penegak hukum internasional dan perusahaan keamanan siber dalam membongkar infrastruktur yang digunakan oleh kelompok kriminal.

Sumber: U.S. Department of Justice, FBI, DCIS, dan CrowdStrike