Americké orgány spolu s Europolem, bezpečnostní organizací Shadowserver a policiemi Bulharska, Maďarska a Rumunska rozbily komunikační síť, kterou zločinci využívali k šíření škodlivého softwaru od roku 2003.

Sality patří k nejdéle fungujícím kriminálním infrastrukturám, jaké kdy byly narušeny – jako peer-to-peer síť sloužila dvě dekády k distribuci škodlivých balíčků na infikované počítače po celém světě. Za dobu své existence se s botnetem spojilo přes jedenáct milionů unikátních IP adres, v okamžiku zásahu bylo prostřednictvím sítě aktivně ovládáno na 33 tisíc kompromitovaných systémů.

Podstatou zásahu nebylo přebrání jednotlivých infikovaných počítačů, ale rozbití samotné P2P komunikace, na které je síť Sality závislá – bez centrálního řídicího serveru se totiž jednotlivé uzly domlouvají na dalších příkazech a aktualizacích přímo mezi sebou. Vyšetřovatelé do sítě vnesli vlastní, podvržené uzly, čímž infikovaným systémům znemožnili získávat platné pokyny od skutečných provozovatelů botnetu a fakticky je od zbytku sítě odřízli. Hlavní náplní, kterou Sality v posledních letech na infikované stroje instalovala, byl nástroj přezdívaný EggJagger – takzvaný clipjacker, který v schránce počítače potichu nahrazuje zkopírovanou adresu kryptoměnové peněženky adresou útočníka, takže platba místo zamýšlenému příjemci putuje jemu.

Na akci se podílely americké federální složky ve spolupráci s Europolem a bezpečnostní firmou Shadowserver, která dlouhodobě monitoruje a mapuje infikované systémy po celém světě; do koordinace se zapojily i policejní sbory v Bulharsku, Maďarsku a Rumunsku, tedy v zemích s vyšší koncentrací napadených zařízení. Operace je dokladem toho, že i dvacet let stará infrastruktura zůstává funkční a zisková, pokud ji provozovatelé průběžně přizpůsobují – z prostého distributora malwaru se Sality postupně proměnila v nástroj pro přímou finanční kriminalitu skrze krádeže kryptoměn.