Behörden in den Vereinigten Staaten, Bulgarien, Ungarn und Rumänien beeinträchtigten am 31. August 2026 das Sality-P2P-Botnetz und nahmen dabei Infrastruktur ins Visier, die zur Verbreitung von Malware, zur Durchführung von Cyberangriffen und zum Diebstahl von Kryptowährungen genutzt wurde. Die Operation ist bedeutsam, weil laut Europol während der Existenz von Sality mehr als 11 Millionen eindeutige IP-Adressen mit dem Botnetz verbunden waren.

CrowdStrike schätzte, dass die Sality-Komponente EggJagger mindestens 150.000 US-Dollar in Kryptowährungen gestohlen hat.

Das US-Justizministerium berichtete, dass an der internationalen Operation Behörden in den Vereinigten Staaten, Bulgarien, Ungarn und Rumänien beteiligt waren, unterstützt von Europol und Eurojust. Auch CrowdStrike und die Shadowserver Foundation beteiligten sich.

US-amerikanische und europäische Strafverfolgungsbehörden beschlagnahmten mit Sality verknüpfte Domains. Spezialisten von CrowdStrike führten zudem eine Sinkhole-Operation durch, die infizierte Geräte von den Betreibern des Botnetzes isolieren sollte.

Laut Europol waren während der Existenz von Sality mehr als 11 Millionen eindeutige IP-Adressen mit dessen Infrastruktur verbunden. Auf dem Höhepunkt konnte der Betreiber gleichzeitig bis zu 1 Million infizierte Geräte kontrollieren. Zum Zeitpunkt der Operation konnte das Netzwerk Malware an mehr als 15.000 Geräte weltweit verteilen.

Wie Sality operierte

Sality trat 2003 erstmals auf und entwickelte sich von einem dateiinfizierenden Virus zu einem dezentralen Peer-to-Peer-Botnetz. Statt auf einen zentralisierten Command-and-Control-Server zu setzen, tauschten infizierte Geräte Befehle direkt untereinander aus. Diese Struktur ermöglichte es der Infrastruktur, funktionsfähig zu bleiben, wenn einzelne Knoten offline genommen wurden.

Das Botnetz verbreitete Tools zum Diebstahl von Zugangsdaten, Proxy-Utilities und Malware für Distributed-Denial-of-Service-Angriffe. In den vergangenen acht Jahren war EggJagger eine seiner Kernkomponenten, ein Clipper, der kopierte Bitcoin- und Ethereum-Wallet-Adressen überwachte und durch Adressen ersetzte, die vom Angreifer kontrolliert wurden.

Nach einer Schätzung von CrowdStrike stahl der Sality-Betreiber über EggJagger mindestens 150.000 US-Dollar in Kryptowährungen. CrowdStrike erklärte, die Schätzung erfasse nur EggJagger und schließe andere mit dem Botnetz verbundene Einnahmequellen aus.

Spezialisten störten das Netzwerk, indem sie eine Funktion seiner Architektur ausnutzten. Sie entfernten aktive Sality-Knoten aus den Peer-Listen infizierter Geräte und ersetzten sie durch kontrollierte Sinkhole-Server, wodurch der Betreiber daran gehindert wurde, neue Befehle und Schadsoftware an die Bots zu senden.

Shadowserver arbeitet mit Internetdienstanbietern und Teams für die Reaktion auf Cybervorfälle zusammen, um verbleibende infizierte Geräte zu identifizieren und deren Eigentümer zu benachrichtigen.

CrowdStrike geht davon aus, dass Sality russische Wurzeln hat. Das Unternehmen erklärte, zu dieser Einschätzung gelangt zu sein, indem es den mutmaßlichen Betreiber des Netzwerks verfolgte, die Cyberkriminellengruppe, die es SALTY SPIDER nennt.

Seit Beginn des Jahres 2025 beläuft sich der Gesamtschaden aus Cybersicherheitsvorfällen mit Beteiligung von Kryptowährungsplattformen auf 3,63 Milliarden US-Dollar.

Quelle: HODL Press