El Departamento de Justicia de Estados Unidos (DoJ) ha anunciado este martes el desmantelamiento de la infraestructura de comando y control de Sality, una botnet peer-to-peer (P2P) que lleva más de una década infectando sistemas Windows en todo el mundo. La operación, ejecutada el 31 de agosto de 2026, ha contado con la participación coordinada de autoridades de EE.UU., Bulgaria, Hungría y Rumanía, junto a socios privados como CrowdStrike y Shadowserver Foundation.

Lo singular de este golpe no es solo su alcance geográfico, sino la táctica empleada: los investigadores han logrado "envenenar" la propia red P2P de Sality para distribuir una actualización que desactiva la capacidad del malware para recibir nuevos payloads. En términos prácticos, los operadores de la botnet han perdido el control sobre los millones de equipos comprometidos, que ahora rechazan cualquier orden maliciosa adicional.

Sality, detectada por primera vez en 2003, ha evolucionado de un virus de archivos polimórfico a una sofisticada red P2P descentralizada, lo que la hacía extremadamente resistente a los derribos tradicionales de servidores C2. Su arquitectura sin punto único de fallo permitía que cada nodo infectado actuara como cliente y servidor, propagando actualizaciones y módulos maliciosos (robo de credenciales, minería de criptomonedas, despliegue de ransomware) de forma autónoma.

La colaboración con CrowdStrike y Shadowserver ha sido clave para mapear la topología de la red y diseñar la actualización "curativa". Shadowserver, que mantiene uno de los mayores repositorios de datos de amenazas abiertos, proporcionó telemetría histórica; CrowdStrike aportó inteligencia sobre los actores detrás de la botnet y sus técnicas de evasión. Este modelo híbrido —poder judicial para incautar dominios y servidores, más agilidad técnica del sector privado— se consolida como el estándar para enfrentar infraestructuras criminales resilientes.

Para los profesionales de seguridad, el caso Sality deja varias lecciones. Primero, la descentralización P2P ya no es sinónimo de invulnerabilidad: la propia arquitectura puede convertirse en vector de remediación si se inyecta código de confianza en la cadena de actualización. Segundo, la atribución y el enjuiciamiento de los operadores siguen siendo el talón de Aquiles; el DoJ no ha revelado identidades, lo que sugiere que los autores siguen en libertad. Tercero, la persistencia de malware legado (Sality tiene 23 años) subraya la necesidad de higiene básica: parcheo, segmentación de red y monitorización de tráfico P2P anómalo en puertos no estándar.

En el horizonte, esta operación sienta precedente para futuras acciones contra botnets modernas como Emotet, Trickbot o las redes de carga útil como servicio (PaaS) que alimentan el ecosistema ransomware. La capacidad de convertir la infraestructura del atacante en su propia herramienta de desinfección masiva cambia las reglas del juego: ya no basta con tirar abajo servidores, hay que hackear la lógica de propagación.