Sality: FBI y CrowdStrike derriban un botnet de 23 años

Una operación de 23 años cae en cuatro países

El FBI, el Departamento de Justicia de EE.UU. y la firma de ciberseguridad CrowdStrike confirmaron esta semana el desmantelamiento de Sality, un botnet ruso activo desde 2003 que llevaba más de dos décadas distribuyendo spam, robando credenciales, lanzando ataques de denegación de servicio y, en sus últimos ocho años, desviando pagos en criptomonedas. La operación se anunció en la conferencia Day Zero que CrowdStrike celebra en Las Vegas.

Según la cobertura de Reuters recogida por The Next Web y Bleeping Computer, la red llegó a comprometer más de 15.000 dispositivos en todo el mundo antes de la intervención. CrowdStrike atribuye el control del botnet a un grupo criminal al que rastrea como SALTY SPIDER, que operaría desde la República de Baskortostán, en la frontera entre Rusia y Kazajistán.

La acción fue multinacional: el DOJ, el FBI y el Defense Criminal Investigative Service (DCIS) incautaron dominios vinculados a Sality en EE.UU., mientras que autoridades de Bulgaria, Hungría y Rumanía retiraron dominios adicionales alojados en Europa. La coordinación contó con apoyo de Europol y Eurojust, y la fundación sin ánimo de lucro Shadowserver quedó a cargo de notificar a los proveedores de internet y a los equipos de respuesta a incidentes para identificar a las víctimas.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

¿Por qué Sality sobrevivió 23 años sin que nadie la tumbara?

La respuesta está en su arquitectura. Sality no dependía de un único servidor de comando y control que pudiera apagarse para derribar toda la red: usaba una estructura peer-to-peer (P2P), en la que cada máquina infectada hablaba directamente con otras. El malware se propagaba además adjuntándose a archivos ejecutables compartidos por red, unidades extraíbles y servicios de archivos, de modo que las infecciones se regeneraban sin necesidad de campañas de phishing ni de kits de exploits activos por parte del operador.

Esa arquitectura le dio dos ventajas. Primero, resiliencia: no había un cuello de botella que cortar. Segundo, invisibilidad: las máquinas comprometidas podían llevar meses o años funcionando con normalidad para sus propietarios mientras formaban parte de la botnet sin que nadie lo notara. La longevidad del malware dice tanto de las víctimas como de los atacantes.

La operación contra Sality no es un caso aislado en 2026. En marzo, EE.UU., Canadá y Alemania desmantelaron cuatro botnets de dispositivos IoT que comprometían más de tres millones de equipos, según recoge Cybersecurity Dive. En mayo, las autoridades neerlandesas tumbaron una botnet de 17 millones de dispositivos ligada a la operación ASOCKS. Más recientemente, el FBI dirigió la interrupción de las plataformas QScan y QTRouter, usadas por grupos chinos de ciberespionaje. El patrón es claro: las redes más longevas son las que sobreviven precisamente por ser silenciosas.

¿Cómo la tumbaron? La técnica de los datos falsos

La operación combinó dos frentes. Por un lado, la vía legal: la incautación de dominios que Sality usaba para distribuir las URL y los archivos con los que actualizaba su carga útil. Por otro, la intervención técnica activa: CrowdStrike ejecutó lo que el sector denomina una operación de sinkholing P2P, un enfoque que, según Reuters, requiere haber comprendido el protocolo interno de la botnet con suficiente detalle como para que los nodos acepten los mensajes como legítimos.

Los detalles técnicos, publicados por CrowdStrike y resumidos por Bank Info Security, muestran que cada bot de Sality mantiene una lista finita de super peers —máquinas accesibles públicamente que forman la columna vertebral de la red P2P—. Cada 40 minutos, los bots verifican si sus peers siguen en línea; los que responden acumulan reputación, los que no, la pierden y son purgados. Los investigadores manipularon ese ciclo de mantenimiento para que los peers legítimos perdieran validación, vaciaran los huecos disponibles y, en esos huecos, se colaran sinkholes controlados por CrowdStrike, nodos señuelo que se hicieron pasar por super peers válidos.

Una vez que un botSinkhole se infiltra en la lista de peers de una víctima, los paquetes de URL y los paquetes de archivo dejan de propagarse: la red pierde su capacidad de actualizar la carga útil. Las máquinas detrás de firewalls o de NAT, inaccesibles directamente, fueron cazadas cuando intentaron contactar a los sinkholes durante sus propios ciclos de mantenimiento, y sus listas de peers fueron vaciadas en el proceso.

El investigador de CrowdStrike Tillmann Werner calificó la operación como "la más compleja que hemos realizado". Bleeping Computer recoge que la planificación se remonta a 2017, cuando las autoridades empezaron a mapear la infraestructura y coordinar la acción entre jurisdicciones.

¿Qué cambió para los operadores?

Durante los últimos ocho años, la carga útil principal de Sality fue EggJagger, un clipjacking que监视a el portapapeles en busca de direcciones de billeteras de Bitcoin o Ethereum y las reemplaza silenciosamente por direcciones controladas por el operador. CrowdStrike estima que EggJagger recolectó al menos 12 millones de rublos —unos 150.000 dólares— en criptodivisas.

Lo más llamativo, sin embargo, es el dinero que nunca se gastó. El operador de Sality no movió la mayoría de las criptomonedas robadas, y CrowdStrike valora ese portfolio no gastado en un pico de unos 147 millones de rublos, aproximadamente 1,68 millones de dólares, alcanzado en enero de 2025. Antes de EggJagger, el botnet había sostenido su modelo de negocio distribuyendocredential stealers, redes de proxies maliciosos y payloads de DDoS. En septiembre de 2023, además, el operador lanzó un ataque de denegación de servicio contra AvanChange, un exchange ruso, compilado segundos antes de ser subido, lo que CrowdStrike interpreta como una respuesta impulsiva a una disputa personal.

¿Qué significa esto para tu startup?

Sality no era sofisticada por su código, sino por su paciencia. Sobrevivió 23 años porque las máquinas que la albergaban no estaban monitorizadas, no se actualizaban o ejecutaban software que sus dueños ya no tocaban. Ese es el patrón que cualquier founder debería internalizar: la ciberseguridad no se rompe por ataques geniales, se rompe por deuda técnica acumulada que nadie revisa.

Acciones concretas que puedes implementar esta semana:

Audita los dispositivos olvidados. Cualquier servidor, equipo industrial o máquina virtual que lleve más de 12 meses sin un parche aplicado es exactamente el tipo de equipo que Sality habitaba. Si no sabes qué tienes encendido, empieza por un escaneo de puertos y direcciones IP públicas desde una herramienta tipo Shodan o Nmap.
Monitoriza el portapapeles y los pagos en cripto si operas con Web3. El modus operandi de EggJagger (reemplazar direcciones de wallet al copiar y pegar) es trivial y sigue siendo rentable. Implementa siempre verificación visual o contratos inteligentes que limiten el cambio de destinatario en transacciones internas.
No confundas "sin ruido" con "sin peligro". Las amenazas más dañinas para una startup en fase早期 no son los ransomware que aparecen en titulares, sino los accesos persistentes que llevan meses sin ser detectados. Invierte en detección continua (EDR) y en revisiones de logs antes de invertir en un seguro de incidentes.

Ninguna operación de este tipo viene con arrestos cuando los operadores están fuera del alcance de los tribunales que la ejecutan. No se han anunciado detenidos en el caso Sality. El efecto disuasorio es limitado, y los botnets desmantelados históricamente se han reconstruido. La lección práctica es que la seguridad de tu empresa no puede depender de que otros hagan el trabajo de limpieza por ti.

Conclusión

Sality era más un negocio que una obra maestra técnica: una operación criminal paciente, construida sobre la desidia acumulada de miles de víctimas anónimas. La novedad de su caída no es solo que la derribaran, sino cómo: usar el propio protocolo P2P de la botnet en su contra, mediante ingeniería inversa y sinkholing activo, en una operación que llevaba planeándose desde 2017. Para una startup, la lectura incómoda es que si una red de 2003 tardó 23 años en caer, las máquinas que no estés parcheando hoy son la base sobre la que se construirá la próxima.