Uma das mais antigas redes de máquinas infetadas do mundo deixou de responder ao seu operador. Numa ação coordenada a 31 de agosto de 2026, liderada pelas autoridades norte-americanas e apoiada pela Europol, foi desmantelada a infraestrutura da botnet peer-to-peer (P2P) Sality, ativa há mais de duas décadas e usada para distribuir payloads maliciosos a milhares de computadores em todo o mundo. A operação juntou autoridades dos Estados Unidos, Bulgária, Hungria e Roménia aos parceiros privados CrowdStrike e Shadowserver Foundation, e combinou uma operação de sinkholing dentro da própria rede P2P com a apreensão de domínios ligados ao malware. O detalhe mais relevante para quem gere sistemas: cortar o controlo da botnet não elimina o malware já instalado nas máquinas.
Resposta rápida: A botnet P2P Sality, ativa desde 2003, foi desativada a 31 de agosto de 2026 numa operação internacional com apoio da Europol e da Eurojust, envolvendo EUA, Bulgária, Hungria e Roménia, com a CrowdStrike e a Shadowserver Foundation. A técnica consistiu em envenenar as listas de peers dos bots e redirecioná-los para sinkholes controlados por defensores, isolando-os do operador. A ação impede novos payloads, mas não desinfeta os equipamentos: quem receber uma notificação do fornecedor de acesso ou do CERT.PT deve isolar a máquina, analisá-la com ferramentas atualizadas e trocar as credenciais utilizadas nesse equipamento.
Quem participou e o que foi efetivamente apreendido
A componente policial teve duas frentes. Nos Estados Unidos, o Departamento de Justiça, o FBI e o DCIS apreenderam domínios associados ao Sality, enquanto as autoridades da Bulgária, Hungria e Roménia atuaram sobre domínios adicionais alojados na Europa. O DCIS é o serviço de investigação criminal do Gabinete do Inspetor-Geral do Departamento de Defesa norte-americano. Em paralelo, os investigadores apreenderam os domínios que alojavam os ficheiros de payload do Sality, fechando o último caminho que um bot com instruções antigas poderia usar para obter novo malware durante a transição.
Do lado europeu, a coordenação não foi improvisada. A Europol indica que apoia desde 2017 os esforços internacionais para identificar e derrubar infraestrutura ligada a esta botnet, à medida que diferentes partes da rede foram sendo localizadas em várias jurisdições, e que nas semanas anteriores à ação houve chamadas operacionais semanais entre parceiros. A CrowdStrike e a Shadowserver Foundation participaram através do Cyber Intelligence Extension Programme (CIEP) da Europol, com o Centro Europeu de Cibercriminalidade (EC3) e a Joint Cybercrime Action Taskforce a organizarem as reuniões operacionais e a partilha de informação.
Como se derruba uma rede que não tem servidor central
A solução passou por usar as regras do próprio protocolo contra ele. Cada bot mantém uma lista de super peers — máquinas infetadas acessíveis publicamente que formam a espinha dorsal da rede — e, a cada 40 minutos, verifica se esses peers continuam ativos; os investigadores exploraram este mecanismo para invalidar os super peers legítimos e substituí-los por sinkholes controlados pelos defensores. Esta abordagem deu também às autoridades visibilidade sobre o progresso da operação e ajudou na notificação das vítimas. Como a maioria das máquinas infetadas está atrás de firewalls ou de NAT e não pode ser contactada diretamente, os investigadores esperaram que fossem elas a ligar-se aos sinkholes durante os ciclos normais de manutenção.
A leitura da CrowdStrike sobre o significado desta operação é explícita: a empresa afirma que a arquitetura P2P, “durante muito tempo considerada um escudo contra disrupções, não é invencível”. O investigador Tillmann Werner descreveu-a como a tomada de controlo de botnet mais complexa alguma vez realizada pela equipa, sublinhando que a rede foi desenhada para sobreviver precisamente a este tipo de ações.
Cronologia e números-chave
| Data / indicador | Detalhe |
|---|---|
| 2003 | Primeira observação do Sality, inicialmente um vírus infetador de ficheiros executáveis |
| Desde 2017 | Europol apoia a cooperação internacional contra a infraestrutura da botnet |
| Últimos 8 anos | EggJagger torna-se o payload principal distribuído pela rede |
| 31 de agosto de 2026 | Operação de sinkholing P2P e apreensão de domínios nos EUA e na Europa |
| 2 de setembro de 2026 | Anúncio público pelo Departamento de Justiça dos EUA e pela Europol |
| +15 000 | Máquinas infetadas contabilizadas à data da disrupção (CrowdStrike) |
| Até 1 milhão | Máquinas comprometidas no pico histórico da botnet (Europol) |
| +11 milhões | Endereços IP únicos associados à infraestrutura ao longo do tempo (Europol) |
O Sality surgiu em 2003 como vírus infetador de ficheiros, propagando-se sempre que um executável contaminado era copiado para uma partilha de rede, uma pen USB ou uma rede de partilha de ficheiros, e o operador acabou por construir duas redes P2P separadas — versão 3 e versão 4 — com o mesmo código-base mas protocolos incompatíveis e chaves criptográficas diferentes. A Europol refere que, no seu auge, a botnet deu ao operador acesso a até um milhão de máquinas infetadas e que mais de 11 milhões de endereços IP únicos foram associados à infraestrutura.
EggJagger: o malware que troca a carteira de criptomoedas
Ao longo da sua existência, a botnet distribuiu código malicioso de vários tipos, incluindo roubo de credenciais, distribuição de spam, serviços de proxy, exploração de redes e ataques distribuídos de negação de serviço (DDoS). Nos últimos oito anos, porém, o payload dominante foi o EggJagger, que vigia a área de transferência à procura de endereços de carteiras de criptomoedas e os substitui silenciosamente por endereços controlados pelo operador — quando a vítima copia um endereço de bitcoin ou ethereum para efetuar um pagamento, o dinheiro segue para a carteira dos criminosos.
Quanto à atribuição, convém formulação cautelosa: a CrowdStrike associa o Sality a um grupo criminoso que designa por SALTY SPIDER e que, segundo a empresa, operará provavelmente a partir da República da Bascortostão, na Rússia. Trata-se de uma avaliação de um fornecedor privado de threat intelligence, não de uma acusação formal. Vale ainda recordar que, em 2022, investigadores da Dragos documentaram publicamente uma campanha dirigida a engenheiros e operadores de sistemas industriais em que ferramentas alegadamente destinadas a recuperar palavras-passe de PLC instalavam malware associado a esta família — um lembrete de que o Sality tocou também ambientes de tecnologia operacional.
A disrupção não limpa os computadores: o que fazer agora
Este é o ponto que separa uma notícia policial de uma tarefa operacional. Cortar o canal de comando impede que cheguem novas instruções e novos ficheiros, mas o código que já está instalado continua presente e pode continuar a executar as suas funções. A Shadowserver Foundation está a trabalhar com fornecedores de acesso à Internet e com equipas de resposta a incidentes (CSIRT) para identificar infeções e apoiar a notificação e a remediação das vítimas. A fundação disponibiliza os seus dados sem custos aos CSIRT nacionais, por código geográfico, e aos responsáveis por cada espaço de endereçamento — o que significa que relatórios com IP portugueses tendem a chegar por essa via.
- Trate qualquer notificação do seu operador ou do CERT.PT como um alerta de comprometimento confirmado, não como spam.
- Isole o equipamento da rede antes de analisar e evite copiar ficheiros executáveis para partilhas ou pens a partir dele.
- Analise com soluções antimalware/EDR atualizadas; por se tratar de um infetador de ficheiros polimórfico, a reinstalação limpa do sistema é frequentemente a via mais segura.
- Reveja registos de rede e telemetria de endpoint à procura de tráfego UDP anómalo e persistente para conjuntos rotativos de IP externos.
- Altere as credenciais usadas nessa máquina e confirme, em caso de pagamentos em criptomoedas, se os endereços de destino foram os pretendidos.
- Desative a execução automática de suportes amovíveis e restrinja a escrita em partilhas de rede a partir de postos de trabalho.
Porque é que isto importa em Portugal
Uma infeção antiga num posto esquecido de uma fábrica, de um consultório ou de uma autarquia continua a ser um ponto de entrada válido — e um incidente com potencial impacto legal. Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um universo alargado de entidades passou a ter obrigações de gestão de risco e de notificação de incidentes significativos, o que torna a resposta a estas notificações um processo formal e documentado, e não um assunto informal do departamento de informática.
O ponto de contacto nacional é conhecido: o CERT.PT coordena a resposta a incidentes que envolvam entidades da Administração Pública, operadores de infraestruturas críticas e, em geral, todo o ciberespaço português, facilitando a partilha de informação relevante e articulando com as restantes autoridades nacionais e internacionais. Se a máquina infetada tratava dados pessoais — de clientes, doentes, alunos ou trabalhadores —, há ainda que avaliar a existência de violação de dados nos termos do RGPD, com a eventual notificação à CNPD no prazo de 72 horas após o conhecimento, e documentar a avaliação mesmo quando se conclua que não há risco relevante.
Há também uma lição de método. Esta operação mostra que a resiliência de uma arquitetura descentralizada não é eterna quando existe cooperação sustentada entre polícias, autoridades judiciárias e investigadores privados — mas mostra igualmente os limites dessa cooperação: sem higiene básica nos endpoints, sistemas comprometidos continuam operacionais, à espera do próximo operador que saiba falar o protocolo certo.
Perguntas frequentes
O meu computador ficou limpo com esta operação?
Não. A disrupção isolou os bots do operador e impede a receção de novos comandos e ficheiros, mas o malware já instalado permanece nas máquinas. É necessário analisar e desinfetar cada equipamento, ou reinstalar o sistema, para eliminar a infeção.
Como vou saber se um equipamento meu estava infetado?
A Shadowserver Foundation está a trabalhar com fornecedores de acesso à Internet e equipas CSIRT para identificar infeções e apoiar a notificação das vítimas. Em Portugal, a informação tende a chegar através do operador de telecomunicações ou do CERT.PT, no CNCS.
O que é o EggJagger e porque é perigoso?
É o payload principal distribuído pelo Sality nos últimos oito anos. Vigia a área de transferência do sistema e substitui endereços de carteiras de criptomoedas por endereços controlados pelos criminosos, desviando pagamentos sem que a vítima note a troca.
Tenho de notificar alguém se detetar esta infeção na minha empresa?
Depende. Entidades abrangidas pelo Regime Jurídico da Cibersegurança devem seguir os deveres de notificação de incidentes significativos previstos no Decreto-Lei n.º 125/2025. Se houver acesso indevido a dados pessoais, aplica-se ainda o dever de avaliação e eventual notificação à CNPD ao abrigo do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Europol, pelo Departamento de Justiça dos Estados Unidos, pela CrowdStrike e pela Shadowserver Foundation.