Wie konnte das Sality-Botnetz nach zwei Jahrzehnten abgeschaltet werden?

In einer großangelegten internationalen Strafverfolgungsaktion wurde das Hackernetzwerk Sality, eines der ältesten und hartnäckigsten Peer-to-Peer-Botnetze (P2P) weltweit, nach fast 25 Jahren endlich zerschlagen. Das 2003 von Experten entdeckte Schadsystem wurde über Jahre hinweg zur Verbreitung verschiedenster Malware genutzt, darunter Tools zum Datendiebstahl, Proxy-Dienste und Software für Denial-of-Service-Angriffe.

In den letzten acht Jahren wurde das Netzwerk hauptsächlich zur Verbreitung des EggJagger-Tools genutzt, einem speziellen Code zum Ersetzen der Zwischenablage, der Angreifern schätzungsweise mindestens 132.800 € in Bitcoin- und Ethereum-Kryptowährungen eingebracht hat.

Der Schlüssel zu Salitys unglaublicher Langlebigkeit lag in seiner Architektur. Es verbreitete sich wie ein klassischer Dateivirus, indem es sich an ausführbare Dateien auf Festplatten und Wechseldatenträgern anhängte. Da es nicht auf einen zentralen Server zur Codeaktualisierung angewiesen war, war es extrem schwierig, es vollständig zu deaktivieren.

Ironischerweise wurde genau das Protokoll, das dem Netzwerk über 20 Jahre lang das Überleben ermöglicht hatte, auch zu seiner größten Schwäche. Das Netzwerk vertraute blind allen verbundenen Computern, ohne deren Identität zu überprüfen oder eine Authentifizierung zu verlangen. Infizierte Geräte, sogenannte Bots, überprüften regelmäßig die Erreichbarkeit anderer Geräte auf ihrer Liste von Superlinks, die das Rückgrat des P2P-Netzwerks bildeten. Erreichbare Computer gewannen nach und nach an Vertrauen, während nicht erreichbare schließlich von der Liste entfernt wurden.

Dieses spezifische Verhalten wurde von Experten von CrowdStrike ausgenutzt. Durch Manipulation auf Protokollebene entfernten sie schrittweise legitime Superlink-Einträge aus den Listen und isolierten so infizierte Computer. Gleichzeitig leiteten sie den Datenverkehr im System auf ihre eigenen gefälschten Server, sogenannte Sinkhole-Server, um.

In einer koordinierten Aktion mit Strafverfolgungsbehörden in den USA, Bulgarien, Ungarn und Rumänien wurden die Webseiten, die die Schadsoftware hosteten, beschlagnahmt und entfernt, wodurch verhindert wurde, dass die infizierten Geräte weitere Updates erhielten. Dies unterband effektiv die Kommunikation der Kriminellen hinter dem Sality-Netzwerk mit den infizierten Computern, da die Geräte nun auf die sichere Infrastruktur von CrowdStrike umgeleitet wurden.

Im Rahmen dieser Operation arbeitet die Shadowserver Foundation mit Internetdienstanbietern und nationalen Cybersecurity Response Teams (CSIRTs) zusammen, um alle Opfer zu identifizieren und bei der vollständigen Bereinigung ihrer Computer zu helfen.