L’un des botnets les plus anciens et les plus résilients de l’histoire de la cybercriminalité vient de tomber. Ce 31 août 2026, une coalition internationale, composée des autorités de plusieurs pays et de plusieurs entreprises privées, a mis un point final aux activités de Sality, un réseau de machines zombies actif depuis plus de vingt ans. Le botnet a permis aux cybercriminels de prendre le contrôle d’un million d’ordinateurs dans le monde.
À lire aussi : Ce botnet récalcitrant redémarre votre appareil dès que vous essayez de le tuer
Un botnet décentralisé qui propage une armée de virus
Sality n’est pas un botnet comme les autres. Contrairement aux autres botnets qui menacent Internet, il fonctionne en pair-à-pair (peer-to-peer, ou P2P), et ne dépend pas d’un serveur central de commande. Chaque machine infectée peut communiquer directement avec d’autres machines infectées, par le biais d’une infrastructure décentralisée. Évidemment, cette approche explique la résilience du botnet. Il est beaucoup plus compliqué de démanteler un botnet décentralisé qu’un botnet reposant sur un serveur central. En effet, la « perturbation de certains éléments de l’infrastructure n’entraîne pas nécessairement la paralysie de l’ensemble du réseau », explique Europol dans un communiqué.
Comme l’expliquent les chercheurs de Crowdstrike, qui ont participé à l’opération de démantèlement, Sality est actif depuis 2003. Les chercheurs attribuent le botnet à un groupe de pirates baptisé SALTY SPIDER, vraisemblablement basé en république du Bachkortostan, en Russie. Au fil de sa longue existence, Sality a été massivement exploité pour distribuer toutes sortes de logiciels malveillants, notamment spécialisés dans le vol d’identifiants, l’envoi massif de spams, l’exploitation de failles réseau, ou les attaques par déni de service distribué (DDoS).
Depuis huit ans, le botnet s’est concentré sur la propagation de EggJagger, un virus spécialisé dans le vol de cryptomonnaies. Quand la cible copie l’adresse d’un portefeuille de cryptomonnaie pour effectuer un paiement, le logiciel malveillant intercepte cette information et la remplace, sans que la victime s’en aperçoive, par l’adresse des attaquants. De facto, la victime envoie des cryptos directement sur l’adresse des cybercriminels.
À lire aussi : 200 000 appareils piratés – ce botnet utilise la blockchain pour brouiller les pistes
Comment l’infrastructure de Sality a-t-elle été neutralisée ?
L’enquête sur les agissements de Sality a débuté il y a plusieurs années. En 2017, Europol est parvenu à identifier différentes composantes de son infrastructure dans plusieurs pays. En parallèle, les autorités américaines se sont également mises à se pencher sur les activités du botnet. Sur base des informations recueillies, un coup de filet d’envergure a été organisé le lundi 31 août 2026. Les forces de l’ordre américaines, dont le FBI, ont saisi les noms de domaine liés à Sality hébergés aux États-Unis. Les polices bulgare, hongroise et roumaine faisaient de même avec les domaines hébergés en Europe.
Today the @FBI, @TheJusticeDept, and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality.
Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr
— FBI Cyber Division (@FBICyberDiv) September 1, 2026
Le même jour, les experts de CrowdStrike ont pris le contrôle des “super-nœuds” de Sality, c’est-à-dire les ordinateurs qui servent de relais principaux pour faire circuler l’information dans tout le réseau. En s’en emparant, les chercheurs ont pu empêcher la diffusion de nouvelles instructions de téléchargement vers les machines infectées. Ils ont aussi pu effacer les carnets d’adresses que ces machines utilisaient pour communiquer entre elles. Les communications des ordinateurs compromis ont été redirigées loin de l’infrastructure criminelle, isolant chaque machine infectée. Les pirates ont donc perdu le contrôle du réseau et de toutes les machines compromises. De l’avis de Crowdstrike, le botnet « n’est plus sous le contrôle de son opérateur ».
« Cette opération démontre que l’architecture P2P, longtemps considérée comme un rempart contre les perturbations, n’est pas invincible, déclare Crowdstrike », soulignant que « même les infrastructures criminelles les plus robustes peuvent être démantelées ».
Le démantèlement de Sality s’inscrit dans le cadre d’une série d’opérations internationales, menées depuis le début de l’année contre des infrastructures criminelles très actives. Dès le mois de mars, les autorités américaines et européennes ont déjà frappé fort en neutralisant SocksEscort, tout en désactivant les serveurs de commande de plusieurs botnets, dont Aisuru, KimWolf, JackSkid et Mossad. Deux mois plus tard, aux Pays-Bas, la police a neutralisé un botnet géant regroupant pas moins de 17 millions d’appareils. Outre-Atlantique, le FBI a démantelé au même moment QScan et QTRouter, deux plateformes de piratage utilisées par des groupes chinois spécialisés dans l’espionnage. Le même mois, on se souviendra aussi du démantèlement de Glassworm, un autre botnet russe lancé à l’assaut de la chaîne d’approvisionnement logicielle.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Europol
