Sality là một trong những họ mã độc Windows tồn tại dai dẳng nhất trong lịch sử an ninh mạng hiện đại. Sau hơn hai thập kỷ lây lan qua tệp thực thi, ổ USB, chia sẻ mạng, email, website bị xâm nhập và mạng ngang hàng, hạ tầng này vừa bị các cơ quan thực thi pháp luật và doanh nghiệp bảo mật phối hợp vô hiệu hóa trong một chiến dịch quốc tế.
Ngày 31/08/2026, Bộ Tư pháp Mỹ công bố hoạt động triệt phá Sality với sự tham gia của nhà chức trách Mỹ, Bulgaria, Hungary, Romania, cùng CrowdStrike và Shadowserver Foundation. Trọng tâm của chiến dịch không chỉ là thu giữ tên miền liên quan, mà còn là biến cơ chế ngang hàng của Sality thành điểm yếu để cô lập các máy nhiễm khỏi khả năng nhận payload mới.
Sality là gì?
Sality xuất hiện trong môi trường thực tế từ khoảng năm 2003, ban đầu nổi bật như một mã độc lây nhiễm tệp thực thi trên Windows. Theo thời gian, nó phát triển thành một botnet có khả năng tự lan truyền, duy trì mạng ngang hàng và phân phối thêm mã độc cho các máy đã bị kiểm soát.
Cộng đồng bảo mật theo dõi nhóm vận hành Sality dưới nhiều tên gọi khác nhau như Salty Spider, Sality, KuKu, SalLoad, Kookoo và SaliCode. Các báo cáo được The Hacker News tổng hợp cho biết nhóm này được cho là hoạt động từ Cộng hòa Bashkortostan thuộc Nga, với động cơ chính là tài chính.
Điểm khiến Sality đáng chú ý không nằm ở một lỗ hổng đơn lẻ, mà ở mô hình tồn tại bền bỉ. Botnet này không phụ thuộc hoàn toàn vào một máy chủ điều khiển trung tâm. Thay vào đó, nhiều biến thể sử dụng mạng P2P để các máy nhiễm chia sẻ danh sách peer, nhận hướng dẫn tải payload và duy trì khả năng sống sót ngay cả khi một số hạ tầng bị chặn.
Tiến trình hơn 20 năm
Từ năm 2003, Sality liên tục được ghi nhận trong các chiến dịch phát tán mã độc nhắm vào hệ thống Windows. Nó có khả năng sửa đổi tệp thực thi, bám vào môi trường chia sẻ nội bộ và mở đường cho các hoạt động như đánh cắp thông tin xác thực, phát tán thư rác, cung cấp proxy trái phép, khai thác mạng và tấn công từ chối dịch vụ phân tán.
Trong các giai đoạn sau, nhiều biến thể Sality tích hợp cơ chế P2P. Hai mạng ngang hàng độc lập, thường được gọi là phiên bản 3 và phiên bản 4, vẫn còn hoạt động cho đến khi chiến dịch triệt phá diễn ra. CrowdStrike cho biết hai mạng này có cùng nền tảng mã nhưng dùng phiên bản giao thức và khóa mật mã không tương thích.
Năm 2022, Dragos từng ghi nhận một chiến dịch nhắm vào kỹ sư và người vận hành công nghiệp nhằm kiểm soát thiết bị PLC rồi đưa chúng vào hệ sinh thái Sality. Chi tiết này cho thấy botnet không chỉ là vấn đề của máy tính cá nhân, mà còn có thể chạm tới môi trường công nghiệp khi chuỗi lây nhiễm đủ rộng.
Đến năm 2026, CrowdStrike ước tính hạ tầng Sality vẫn có thể phân phối payload tới hơn 15.000 máy bị nhiễm trên toàn cầu. Một payload đáng chú ý là EggJagger, công cụ theo dõi clipboard để thay thế địa chỉ ví tiền mã hóa bằng địa chỉ do kẻ tấn công kiểm soát. Theo các nguồn được công bố, hình thức này đã giúp nhóm vận hành đánh cắp ít nhất 150.000 USD.
Chiến dịch triệt phá diễn ra như thế nào?
Thay vì chỉ tìm và gỡ máy chủ điều khiển, các bên tham gia đã dùng kỹ thuật sinkhole và thao túng danh sách peer để cắt đứt khả năng liên lạc của botnet. Cách tiếp cận này tận dụng chính niềm tin mặc định của giao thức P2P Sality: một máy có thể tham gia mạng nếu phản hồi đúng bắt tay giao thức, trong khi botnet thiếu cơ chế xác thực danh tính peer đủ mạnh.
Sality định kỳ kiểm tra các peer đang lưu để xác định máy nào còn trực tuyến. Bằng cách thao túng danh sách peer, chiến dịch đã đẩy các máy nhiễm về phía hạ tầng do lực lượng phòng thủ kiểm soát, khiến chúng không còn nhận được lệnh tải payload từ nhóm vận hành. Đây là cách làm từng được sử dụng trong các chiến dịch xử lý GameOver Zeus năm 2014 và Kelihos năm 2017.
Điểm đặc biệt là Sality khó tự vá trong tình huống này. Do cơ chế lan truyền chủ yếu dựa vào việc gắn mã vào tệp thực thi trên đĩa, botnet không có một kênh cập nhật tập trung linh hoạt như nhiều mã độc hiện đại. Chính đặc tính từng giúp nó bền bỉ trước các nỗ lực đánh sập truyền thống lại trở thành điểm yếu khi mạng P2P bị điều hướng ngược.
Hệ lụy kỹ thuật và pháp lý
Về kỹ thuật, chiến dịch này cho thấy phòng thủ botnet hiện đại phải vượt qua tư duy chỉ chặn tên miền hoặc địa chỉ IP. Với mạng P2P, điểm quyết định nằm ở giao thức, niềm tin giữa các node, khả năng định danh peer và cách payload được truyền qua mạng.
Về pháp lý, vụ việc phản ánh mô hình phối hợp ngày càng quan trọng giữa cơ quan công quyền và khu vực tư nhân. Bộ Tư pháp Mỹ xử lý phần thu giữ tên miền và điều phối pháp lý, trong khi các đơn vị bảo mật như CrowdStrike và Shadowserver đóng vai trò phân tích, đo lường, sinkhole và hỗ trợ làm sạch hạ tầng.
Về kinh tế, thiệt hại trực tiếp từ Sality không chỉ nằm ở khoản tiền mã hóa bị chuyển hướng. Chi phí thực tế còn bao gồm máy trạm bị nhiễm dai dẳng, rủi ro dữ liệu xác thực, băng thông bị lạm dụng, thời gian điều tra nội bộ và khả năng botnet bị tái sử dụng cho DDoS hoặc phát tán mã độc khác.
Yếu tố xã hội phía sau sự dai dẳng
Sality sống lâu không chỉ nhờ kỹ thuật. Nó tận dụng các thói quen rất đời thường: dùng phần mềm không rõ nguồn gốc, trao đổi tệp qua USB, chia sẻ thư mục nội bộ thiếu kiểm soát, mở tệp đính kèm email và duy trì máy Windows cũ không được giám sát tốt.
Trong nhiều tổ chức, các hệ thống ít được chú ý như máy trạm phụ, máy dùng trong dây chuyền vận hành hoặc thiết bị cũ lại trở thành mắt xích giúp mã độc tồn tại. Khi một botnet có thể tự lan truyền và tái nhiễm qua môi trường nội bộ, việc chỉ làm sạch một số máy nổi bật thường không đủ.
Bài học cho cá nhân và tổ chức
Với cá nhân, bài học cơ bản vẫn là hạn chế tải phần mềm không rõ nguồn, cập nhật hệ điều hành, bật bảo vệ chống mã độc, cẩn trọng với tệp thực thi và kiểm tra kỹ địa chỉ ví tiền mã hóa trước khi giao dịch.
Với tổ chức, Sality nhấn mạnh nhu cầu quản lý tài sản, kiểm soát thiết bị lưu trữ rời, giám sát lưu lượng P2P bất thường, phân đoạn mạng, rà soát máy Windows cũ và xây dựng quy trình phản ứng khi phát hiện dấu hiệu lây nhiễm diện rộng.
Với cộng đồng an ninh mạng, vụ việc là lời nhắc rằng một botnet lâu năm có thể không biến mất sau một bản tin cảnh báo. Nó cần dữ liệu chia sẻ, phối hợp pháp lý xuyên biên giới và chiến thuật kỹ thuật phù hợp với kiến trúc của chính mã độc.
Sality bị vô hiệu hóa không phải vì nó đơn giản, mà vì các bên phòng thủ đã hiểu đúng cơ chế vận hành của nó. Khi một hạ tầng tấn công được thiết kế để chống chịu bằng mạng ngang hàng, cách xử lý hiệu quả nhất đôi khi là dùng chính logic ngang hàng đó để cô lập kẻ điều khiển khỏi những máy đã bị nhiễm.
VNCyberS tổng hợp từ The Hacker News, BleepingComputer, U.S. Department of Justice, CrowdStrike và Shadowserver Foundation
Tiếng Việt
English