Das US-Justizministerium hat gemeinsam mit internationalen Partnern eine großangelegte Operation gegen das Sality-Botnet durchgeführt. Bei der Aktion wurden Infrastrukturen des Botnets beschlagnahmt und die dezentrale Steuerung der bis zu 33.000 infizierten Rechner und Geräte unterbrochen.
Das Botnet Sality ist bereits seit 2003 aktiv ist soll in der Spitze bis zu einer Million Geräte gelenkt haben. Aktuelle waren es wohl nur noch 33.000 Geräte. Eine Schadsoftware infizierte Rechner und integriert sie in ein Peer-to-Peer-Netzwerk (P2P). In einem solchen Netzwerk kommunizieren die infizierten Rechner direkt miteinander, um Befehle zu verteilen. Die Besitzer der kompromittierten Geräte haben dabei nicht bemerkt, dass ihr Rechner als Teil des Botnets missbraucht wurde.
P2P-Struktur machte Botnet so widerstandsfähig
Das Botnet ermöglichte laut Justizministerium Kryptowährungsdiebstähle und Cyberangriffe auf Opfer in den USA und anderen Ländern. Die dezentrale P2P-Struktur machte Sality besonders widerstandsfähig gegen herkömmliche Bekämpfungsmaßnahmen, da es keinen zentralen Steuerungsserver gab, der einfach abgeschaltet werden konnte.
Die Aktion wurde von internationalen Behörden, wie etwa dem US-Justizministerium und Europol ausgeführt. Als technische Partner unterstützen waren Security-Hersteller CrowdStrike und die Shadowserver Foundation. Der Gegenschlag wird als Peer-to-Peer-Sinkhole-Operation bezeichnet. Dabei werden die Kommunikationswege des Botnets so umgeleitet, dass die infizierten Rechner nicht mehr mit den eigentlichen Steuerungsknoten, sondern mit von den Behörden kontrollierten Servern kommunizieren. Das unterbricht die Befehlsverteilung und ermöglicht es, Infektionen zu identifizieren.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenNach 23 Jahren ist das Sality-Botnet abgeschaltet
Das Justizministerium beschlagnahmte Sality-verknüpfte Domains in den USA. Internationale Partner in Bulgarien, Ungarn und Rumänien sicherten zusätzliche Domains in Europa. Die Shadowserver Foundation arbeitet mit Internetanbietern und Computer Security Incident Response Teams zusammen, um Infektionen zu identifizieren und Betroffene zu benachrichtigen.
Sality gehört zu den langlebigsten Botnets der Cyberkriminalitätsgeschichte. Mit einer Aktivitätsdauer von mehr als 23 Jahren übertrifft es die meisten bekannten Botnets in puncto Langlebigkeit. Die dezentrale P2P-Architektur ermöglichte es den Betreibern, wiederholt Gegenmaßnahmen zu überstehen.
Mehr bei Justice.gov