Durante dos décadas y media, una red de ordenadores infectados distribuyó spam, ejecutó ataques de denegación de servicio y robó criptomonedas. Nadie lo paró. Sality, la operación rusa de cibercrimen activa desde 2003, sobrevivió más tiempo que el iPhone, que Facebook y que la mayoría de las empresas de seguridad que ahora trabajan para desmantelarla. Esta semana, el FBI y CrowdStrike anunciaron su desarticulación en el marco de la conferencia Day Zero de Las Vegas, con una táctica que no había sido probada a esa escala: inyectar información falsa dentro de la propia red para convencer a los ordenadores infectados de desconectarse de su controlador.
El método importa tanto como el resultado. Según informó Reuters, CrowdStrike realizó ingeniería inversa del botnet, identificó debilidades estructurales en su arquitectura de control y seeding, y envió señales falsas a los nodos infectados haciéndoles creer que el servidor de control ya no estaba disponible. «Esta fue la operación de desmantelamiento de botnet más compleja que hemos realizado», dijo Tillmann Werner, investigador de CrowdStrike.
¿Por qué sobrevivió Sality 23 años sin que nadie lo detuviera antes?
La respuesta está en su diseño. A diferencia de los botnets convencionales que dependen de un servidor central —que puede simplemente apagarse para derribar toda la red—, Sality se propagaba infectando archivos ejecutables y utilizaba una arquitectura peer-to-peer para la comunicación. Sin un punto central de control que tumbar, las operaciones de las fuerzas del orden habituales eran ineficaces.
La operación holandesa contra la botnet ASOCKS de 17 millones de dispositivos el pasado mayo usó técnicas similares de coordinación internacional. El patrón se repite: las botnets más longevas comparten el mismo secreto de permanencia — son invisibles. Las máquinas comprometidas llevan meses o años infectadas porque nadie las monitoriza, nadie las actualiza, o el software que corren sigue funcionando sobre sistemas que sus propietarios ya no piensan en ellos.
El FBI y el Departamento de Justicia gestionaron el frente legal: incautaron los dominios web usados para controlar los ordenadores infectados, eliminando parte de la infraestructura mientras CrowdStrike trabajaba en romper las conexiones restantes. Bill Essayli, primer asistente del fiscal federal, declaró que «los cibercriminales, las botnets y el malware son una amenaza clara y presente». David Watson de la Shadowserver Foundation describió Sality como una puerta de entrada a un gran número de organizaciones cuyas redes comprometidas podían venderse o usarse para ataques adicionales.
La longevidad de Sality no dice tanto de sus operadores como de sus víctimas. En Europa, sistemas industriales, servidores de pequeñas empresas y máquinas del sector público pueden llevar años corriendo software lo suficientemente antiguo como para ser vulnerable a malware escrito en 2003. La investigación presentada en DEF CON 2026 por dos investigadores polacos mostró cómo una exploración sistemática de la web pública revela aeropuertos, hospitales y tribunales con sistemas accesibles que llevan años sin actualizar. Sality era uno de los beneficiarios de esa realidad.
Qué pasa ahora con los ordenadores que estaban en la red
Que se desconecten de Sality no significa que estén limpios. Las máquinas que formaban parte de la botnet aún contienen cualquier vulnerabilidad que permitió que Sality las infectara en primer lugar. La desarticulación elimina la red de control, pero no la puerta trasera. Si los propietarios no actualizan y parchean, podrían ser reclutados por la próxima operación.
No se han anunciado detenciones. Cuando los operadores están fuera del alcance de los tribunales que ejecutan la operación —como ocurre en la mayoría de los casos con actores en Rusia— las únicas opciones disponibles son incautar la infraestructura y cortar las conexiones. El efecto disuasorio es limitado.
La técnica de datos falsos tiene potencialmente más aplicaciones. Una red distribuida no tiene que romperse necesariamente mediante cifrado o fuerza bruta: si sus nodos pueden ser persuadidos de que el controlador en el que confían ya no está disponible, la red colapsa sin necesidad de atacar cada nodo individualmente. Es una lección de las operaciones contra Sality que el sector de la ciberseguridad va a estudiar durante años.
La semana pasada, el hackeo de McKesson —el mayor distribuidor farmacéutico de EEUU— por ShinyHunters pedía 55 millones en rescate por millones de historiales de pacientes. Sality es el lado opuesto del mismo problema: mientras el ransomware de hoy es visible y ruidoso por diseño, los botnets más efectivos sobreviven precisamente por ser silenciosos. En el contexto de 2026, donde la IA acelera tanto la creación como la detección de malware, que una operación de 2003 haya tardado 23 años en ser desmantelada es el recordatorio más incómodo de que las amenazas antiguas no desaparecen porque lleguen nuevas.
La técnica de datos falsos que CrowdStrike empleó merece más análisis. Convencer a los nodos de una red de que su controlador ya no existe requiere haber entendido el protocolo de comunicación interna de la botnet con suficiente precisión como para generar mensajes que los nodos acepten como legítimos. Eso requiere meses de ingeniería inversa y análisis del protocolo. En wwwhatsnew.com llevamos años cubriendo operaciones contra infraestructuras de cibercrimen y hemos comprobado que las que tienen más éxito a largo plazo son las que combinan el frente legal (incautación de dominios) con la intervención técnica activa en la propia red del atacante. El problema es que la segunda parte es legalmente compleja: operar dentro de una red sin autorización explícita de todos los nodos comprometidos puede rozar los límites del derecho procesal en varias jurisdicciones europeas.
Ni el número de máquinas infectadas ni las pérdidas económicas totales atribuibles a Sality se han divulgado. Tras dos décadas, ambas cifras darían la imagen más precisa de cuán grande llegó a ser la operación. Los sistemas desconectados de Sality siguen siendo vulnerables al malware que los infectó originalmente: la desarticulación elimina la red de control pero no la puerta trasera. Los propietarios de esos equipos necesitarán actualizarlos y parcheadlos por su cuenta, una tarea que históricamente solo completa una fracción de los afectados.