Das Ende des Sality-Botnets
CrowdStrike und das Justizministerium haben das Sality-Botnet, das seit 2003 aktiv ist, zerschlagen. In den letzten acht Jahren hat es Kryptowährungszahlungen durch das Umschreiben von Wallet-Adressen auf infizierten Computern entführt, wie die Sicherheitsfirma am Dienstag mitteilte.
Die Funktionsweise von Sality
Sality lieferte hauptsächlich die Payloads anderer Akteure. Acht Jahre lang war seine Hauptlast EggJagger, ein Clipjacking-Tool, das die Zwischenablage nach Kryptowährungs-Wallet-Adressen überwacht und diese gegen die eigenen des Betreibers austauscht. Ein Opfer, das eine Bitcoin- oder Ethereum-Adresse kopiert, um jemandem zu bezahlen, sendet das Geld somit an einen Fremden.
CrowdStrike schätzt den Gewinn allein von EggJagger auf mindestens 12,1 Millionen Rubel, was ungefähr 150.000 Dollar entspricht. Vor EggJagger verdiente das Botnet seinen Lebensunterhalt mit dem Diebstahl von Anmeldedaten, Spam, Proxy-Diensten und Denial-of-Service-Angriffen. Die gestohlenen Coins blieben größtenteils unberührt, was sich als die profitablere Entscheidung herausstellte.
Die Überlebensstrategie von Sality
CrowdStrike bewertet das nie ausgegebene Portfolio im Januar 2025 auf einen Höchststand von etwa 147 Millionen Rubel, was nominal 1,35 Millionen Dollar oder ungefähr der Kaufkraft von 4 Millionen Dollar in einer westlichen Hauptstadt entspricht. Sality überlebte seit 2003, weil es keinen zentralen Server gab, der beschlagnahmt werden konnte. Infizierte Maschinen kommunizierten direkt miteinander, und die Malware verbreitete sich, indem sie sich an ausführbare Dateien anhängte, die über Netzwerkfreigaben und tragbare Laufwerke übertragen wurden, und regenerierte sich mühelos ohne Eingreifen des Betreibers.
Diese Architektur war auch der Zugangspunkt. Bots akzeptierten jede erreichbare Maschine, die korrekt auf den Handshake antwortete, ohne zu überprüfen, wer sich anschloss.
Die Zerschlagung des Botnets
Das Counter Adversary Operations-Team von CrowdStrike nutzte diesen Zugang, um legitime Peers aus der Adressliste jedes Bots zu entfernen und eigene Sinkholes einzufügen, wodurch mehr als 15.000 Maschinen weltweit isoliert wurden. Das Justizministerium, das FBI und der Defense Criminal Investigative Service beschlagnahmten in den USA Sality-verbundene Domains, während die Polizei in Bulgarien, Ungarn und Rumänien andere in Europa abschaltete. Die Shadowserver Foundation arbeitet mit Internetanbietern zusammen, um die Opfer zu benachrichtigen.
Der Betreiber und zukünftige Risiken
Der Betreiber, den CrowdStrike als SALTY SPIDER verfolgt, richtete das Botnet gelegentlich gegen eigene Ziele. Eine Denial-of-Service-Attacke traf im September 2023 AvanChange, eine russische Kryptowährungsbörse, und wurde Sekunden vor dem Upload kompiliert, was CrowdStrike als impulsive Reaktion auf eine persönliche Beschwerde interpretiert. Das Unternehmen glaubt, dass der Betreiber Börsen wie diese nutzte, um gestohlene Coins in Bargeld umzuwandeln.
Infizierte Maschinen berichten jetzt an von CrowdStrike kontrollierte Sinkholes anstelle ihres Besitzers. Das Unternehmen hat Erkennungsregeln und Netzwerkindikatoren veröffentlicht und warnt, dass Malware, die bereits auf diesen Maschinen sitzt, aktiv bleibt, bis jemand sie entfernt.
