Ende August beendete eine große gemeinsame Aktion die mehr als 20-jährige Aktivität des Sality-Botnetzes. Unter der Leitung des Counter Adversary Operations-Teams von CrowdStrike in Zusammenarbeit mit dem FBI, dem US-Justizministerium und Europol trug diese Aktion dazu bei, eine cyberkriminelle Infrastruktur zu neutralisieren, die Geräte auf der ganzen Welt infizierte.

Wie konnte ein so altes Botnetz so lange überleben?

Sality, das 2003 auf den Markt kam, verdankte seine außergewöhnliche Langlebigkeit zwei Schlüsselfaktoren. Einerseits die Peer-to-Peer-Architektur (P2P). machte ihn äußerst belastbar. Im Gegensatz zu herkömmlichen Botnetzen, die auf zentralisierten Befehls- und Kontrollservern basieren, gab es bei Sality keinen Single Point of Failure. Die infizierten Maschinen kommunizierten direkt miteinander.

Andererseits war Sality ein polymorpher Dateiinfektor. Es verbreitet sich, indem es sich an ausführbare Dateien auf kompromittierten Systemen anhängt und sich dann über Netzwerkfreigaben oder Wechselmedien verbreitet. Durch diese kontinuierliche Ausbreitungsmethode wurden Infektionen ständig neu generiert, ohne dass der Betreiber aktive Anstrengungen wie Phishing-Kampagnen unternehmen musste.

Was waren Salitys kriminelle Aktivitäten?

Vor allem aus finanziellen Gründen verbreitete Sality verschiedene Malware zum Diebstahl von Zugangsdaten, Spamming oder Denial-of-Service-Angriffen.

In den letzten acht Jahren war EggJagger seine Hauptnutzlast wegen Diebstahls von Kryptowährungen. Dieses Tool überwachte die Zwischenablagen der Opfer und ersetzte diskret Bitcoin- oder Ethereum-Wallet-Adressen durch die des Betreibers. CrowdStrike schätzt, dass der Betreiber mithilfe dieser Technik mindestens 150.000 US-Dollar gestohlen hat.

Das Botnetz wurde auch für gezielte DDoS-Angriffe genutzt, insbesondere gegen ein ukrainisches Forum nach der russischen Invasion im Jahr 2022, was auf patriotische oder persönliche Beweggründe des Betreibers schließen lässt, der im Verdacht steht, von Russland aus zu arbeiten.

Wie lief die Demontage ab?

Bei der Takedown-Operation wurden inhärente Schwachstellen im P2P-Protokoll von Sality ausgenutzt. Cybersicherheitsexperten haben eine P2P-Sinkholing-Operation ins Leben gerufenbeschrieben als „ die komplexeste Botnet-Übernahme aller Zeiten „.

Dem Team gelang es, die Listen der Super-Peers zu manipulieren, die die Hauptknoten des Netzwerks darstellen. Durch das Einfügen falscher Informationen in diese Listen isolierten Forscher nach und nach infizierte Maschinen vom Rest des Netzwerks und verhinderten so, dass sie neue Anweisungen oder Nutzlasten erhielten.

Die Maschinen stellten dann eine Verbindung zu Servern her, die von den Verteidigern kontrolliert wurden. Gleichzeitig beschlagnahmten die Behörden die Domänennamen, die zum Hosten der Malware verwendet wurden.