Eine koordinierte internationale Operation hat die wichtige von Sality genutzte Infrastruktur demontiert und ein Peer-to-Peer-Botnetz zerstört, das seit über 20 Jahren aktiv ist.
Authorities in the United States und Europa arbeitete mit privaten Cybersicherheitsunternehmen zusammen, um Domains zu beschlagnahmen und das Kommunikationssystem zu stören, das es Sality-Betreibern ermöglichte, infizierte Computer zu kontrollieren. Die Operation umfasste das US-Justizministerium, das FBI und den Defense Criminal Investigative Service, unterstützt von Europol und Eurojust. Behörden in Bulgarien, Ungarn und Rumänien beschlagnahmten ebenfalls Sality-bezogene Domains, die in Europa gehostet wurden.
CrowdStrike beteiligte sich an der Operation, indem es die Peer-to-Peer-Infrastruktur mit infizierten Geräten ins Visier nahm. Anstatt sich vollständig auf traditionelle zentralisierte Command-and-Control-Server zu verlassen, nutzte Sality infizierte Maschinen, um mit anderen Mitgliedern des Botnetzes zu kommunizieren, was die Infrastruktur durch konventionelle Serverbeschlagnahmen erschwerte.
Ermittler und Forscher störten dieses Netzwerk mit einer Sinkhole-Operation, die Salitys bekannte “Super-Peers” ins Visier nahm und als wichtige Kommunikationspunkte zwischen infizierten Systemen dienten. Die Intervention verhinderte, dass sich Malware-Dateien und Anweisungen zum Herunterladen zusätzlicher Nutzlasten weiter im Netzwerk verbreiteten.
CrowdStrike says der Betrieb hat die verbleibende Sality-Botnet-Infrastruktur außerhalb der Kontrolle der Betreiber gelassen.
Sality tauchte erstmals 2003 auf und entwickelte sich zu einer langjährigen Malware-Operation, die infizierte Windows-Computer für verschiedene Formen von Cyberkriminalität nutzen kann. Seit ihrem Aufkommen wurden durch diese Operation mehr als 15.000 Geräte mit Schadsoftware infiziert.
CrowdStrike schreibt Sality einer cyberkriminellen Gruppe zu, die sie als SALTY SPIDER verfolgen, von der Forscher glauben, dass sie wahrscheinlich von der Republik Baschkortostan in Russland aus operiert. Die Zuschreibung stammt von der Sicherheitsfirma und nicht von den Strafverfolgungsbehörden.
Im Laufe seiner langen Geschichte wurde Sality mit Schadsoftware in Verbindung gebracht, die für den Diebstahl von Zugangsdaten, Spam-Kampagnen, Proxy-Diensten, die Ausnutzung von Netzwerken und verteilte Denial-of-Service-Angriffe eingesetzt wird.
In jüngerer Zeit konzentrierte sich der Zweck des Botnetzes zunehmend auf den Diebstahl von Kryptowährungen.
Zwei Sality-Netzwerke, die vor der Entfernung noch in Betrieb waren, wurden hauptsächlich zur Verbreitung von EggJagger verwendet. Die Malware führt eine Technik namens Clipjacking aus und überwacht das Klemmbrett eines infizierten Computers auf Kryptowährungs-Wallet-Adressen.
Wenn ein Opfer eine Wallet-Adresse vor der Transaktion kopiert, kann EggJagger sie stillschweigend durch eine von den Angreifern kontrollierte Adresse ersetzen. Ein Nutzer, der die Substitution nicht bemerkt, kann dann Kryptowährungen direkt an die Kriminellen senden, anstatt an den vorgesehenen Empfänger.
CrowdStrike sagt, EggJagger sei etwa acht Jahre lang Salitys primäre Malware-Payload gewesen.
Die internationale Operation richtete sich sowohl gegen die Domains, die Sality unterstützten, als auch gegen die Peer-to-Peer-Architektur, die es infizierten Computern ermöglichte, neue Anweisungen und Malware zu empfangen. Durch das Umleiten kritischer Kommunikationspunkte und das Entfernen von Peer-Informationen aus infizierten Systemen konnten die Ermittler Maschinen vom kriminellen Netzwerk isolieren.
Nach mehr als zwei Jahrzehnten ununterbrochenem Betrieb steht Sality laut CrowdStrike nun nicht mehr unter der Kontrolle seiner Betreiber.