根據 thehackernews.com 的報導，美國司法部（DoJ）近期宣布與保加利亞、匈牙利、羅馬尼亞等國的執法部門，以及資安公司 CrowdStrike 和 Shadowserver Foundation 合作，成功瓦解了長期活躍的 Sality 僵屍網路（Botnet）。這場行動於 2026 年 8 月 31 日執行，透過一種名為 P2P Sinkhole（點對點匯流池）的技術手段，將 Sality 自身引以為傲的去中心化架構轉化為其致命傷，有效切斷了攻擊者向受感染設備發送新惡意載荷（Payload）的能力。
背景與 Sality 的威脅特性
Sality 是一種歷史悠久的 Windows 惡意軟體，最早可追溯至 2003 年。它最核心的特徵是屬於檔案感染型（File Infector），能直接修改磁碟上的可執行檔（.exe），使其在系統中自我傳播。除了基礎的感染能力，Sality 還能作為一個分發平台，下載並安裝其他惡意圖明確的惡意軟體，包括用於竊取憑據的工具、垃圾郵件發送器，以及執行分佈式阻斷服務攻擊（DDoS）的模組。
其中一個著名的載荷是 EggJagger，這是一種剪貼簿劫持工具（Clipjacking），會監控使用者的剪貼簿，一旦發現加密貨幣錢包地址，便會悄悄將其替換為攻擊者的地址，導致受害者在轉帳時將資金發送到錯誤帳戶。據估計，此手段已造成至少 15 萬美元的損失。此外，Sality 的影響範圍甚至延伸至工業控制系統，曾被發現試圖控制可程式化邏輯控制器（PLC），將工業設備納入其僵屍網路。
去中心化架構的雙面刃
為了避免被執法部門透過關閉中央指令伺服器（C2 Server）而一次性摧毀，Sality 採用了點對點（P2P, Peer-to-Peer）網路架構。在這種模式下，受感染的機器（稱為 Peer）之間會互相通信並交換資訊，而非單一依賴中央伺服器。這種去中心化的設計讓 Sality 具有極強的韌性，因為沒有單一的失效點（Single Point of Failure）。
然而，這種設計也帶來了致命的漏洞：缺乏身分驗證。Sality 的 P2P 協議在加入新節點時，僅僅檢查對方是否能正確回應握手（Handshake）請求，而沒有任何加密身分驗證、白名單或身分證明機制。這意味著只要任何一台機器在公網上可被訪問且遵循該協議，就能被 Sality 網路視為合法的成員。
核心反制技術：點對點列表操縱
CrowdStrike 與執法部門利用上述漏洞，採取了點對點列表操縱（Peer List Manipulation）策略。這種方法的核心在於干預僵屍網路維護節點清單的機制。Sality 的受感染機器每 40 分鐘會檢查一次儲存的對等節點（Peer）是否在線，回應正常的節點會增加信譽值，而失效的節點則會被剔除。
反制行動首先針對超級節點（Super Peers）進行攻擊。超級節點是網路中的骨幹，負責協助其他節點發現彼此。資安團隊將精心設計的 Sinkhole 節點（匯流池節點）注入到受感染機器的節點清單中，並在驗證過程中操縱協議，將原本合法的對等節點剔除，取而代之的是由 CrowdStrike 運行的 Sinkhole 節點。
一旦受感染機器將 Sinkhole 節點視為唯一的信任對象，它們就會被隔離在真正的攻擊者控制之外。對於位於防火牆或 NAT（網路位址轉換）後方、無法被直接聯繫的機器，則採取被動策略：當這些機器在例行維護中嘗試聯繫 Sinkhole 節點時，其內部的節點清單會被清空，使其永久喪失與攻擊者通信的能力。
影響、限制與實務意義
此次行動成功地將 Sality 網路中的所有節點導向 Sinkhole，使其無法再接收下載指令或傳輸新的惡意載荷。這意味著雖然現有的感染依然存在，但攻擊者已失去了對這 1.5 萬多台受感染機器的控制權，無法再將其用於 DDoS 攻擊或分發新病毒。
然而，必須注意一個關鍵限制：此次行動僅僅是切斷了控制通道（C2 Channel），並未自動清除已安裝在受害者電腦上的惡意軟體。由於 Sality 是檔案感染型病毒，已感染的執行檔依然留在磁碟中，使用者仍需透過專業的清理工具或重新安裝系統來徹底根除。
對於企業與組織而言，此次行動提供了明確的偵測指標。若網路日誌或端點遙測數據中出現指向 IP 地址 188.166.101.148 的 UDP 流量，則表示該設備目前正嘗試聯繫 Sinkhole 節點，即該設備已被 Sality 感染，需要立即進行修復。
這次事件證明了即使是高度韌性的 P2P 基礎設施，只要其協議設計缺乏嚴謹的身分驗證，依然可以被反向利用。這不僅是技術上的勝利，更體現了公私部門協作（Public-Private Partnership）在對抗全球性網路犯罪中的必要性。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。