Sality-botnetnet blev afbrudt efter 23 år – sådan vendte myndighederne P2P-netværket mod sig selv

Sality blev forstyrret i en koordineret international operation den 31. august 2026. Indsatsen kombinerede retsligt godkendte beslaglæggelser af domæner med en teknisk sinkhole-operation i botnettets peer-to-peer-netværk (P2P). Det ledte inficerede computere væk fra den infrastruktur, som botnettets operatør kontrollerede. Amerikanske myndigheder, herunder Justitsministeriet, FBI og Defense Criminal Investigative Service, arbejdede sammen med myndigheder i Bulgarien, Ungarn og Rumænien samt CrowdStrike og Shadowserver Foundation. 167

Først domænerne – derefter selve netværket

Amerikanske myndigheder beslaglagde Sality-tilknyttede domæner, der blev brugt til at styre kompromitterede enheder og sprede skadelige programmer. Myndigheder i Bulgarien, Ungarn og Rumænien greb tilsvarende ind over for yderligere infrastruktur i deres lande. 16

Det var dog ikke nok blot at lukke domæner. Sality var et P2P-botnet: Inficerede computere kunne udveksle oplysninger om andre inficerede computere indbyrdes i stedet for udelukkende at være afhængige af et begrænset antal centrale kommando- og kontrolservere. Den decentraliserede opbygning gjorde netværket mere modstandsdygtigt, når enkelte servere eller domæner forsvandt. 67

CrowdStrikes Counter Adversary Operations-team gennemførte derfor en P2P-sinkhole-operation sammen med myndigheder og branchepartnere. Formålet var at isolere de inficerede enheder og gøre operatørens kommandokanal uvirksom. 17

Den samme robusthed blev Salitys svaghed

CrowdStrike reverse-engineerede botnettets P2P-kommunikation og gik efter mekanismen bag dets peer-lister – altså de oplysninger, kompromitterede enheder brugte til at finde hinanden. Forskerne fandt svagheder i måden, oplysningerne blev accepteret og spredt på, og lagde derefter falske peer-oplysninger ind i netværket. 613

I praksis fik det inficerede systemer til at oprette forbindelse til kontrolleret sinkhole-infrastruktur frem for operatørens netværk. Dermed blev operatøren afskåret fra at bruge det aktive netværk til at udsende nye instrukser om downloads eller levere yderligere skadelige programmer. 67

Det gjorde operationen usædvanligt kompleks. Efterforskerne fjernede ikke bare en central server; de skulle modvirke et distribueret system, hvor inficerede computere selv kunne dele netværksoplysninger. Det krævede både juridiske skridt mod domæner og en synkroniseret teknisk indsats, der kunne overtage botnettets egen proces til at finde andre noder. 167

Hvad Sality blev brugt til

Sality havde været aktiv i mere end to årtier og blev brugt til at levere skadelige programmer til inficerede computere. Offentlige redegørelser og rapportering beskriver brug til spam, distribuerede denial-of-service-angreb (DDoS), tyveri af loginoplysninger og tyveri af kryptovaluta. 6

En omtalt nyttelast, EggJagger, overvågede offerets udklipsholder for adresser til kryptovaluta-wallets og erstattede dem med en adresse kontrolleret af angriberen. Det kunne omdirigere planlagte Bitcoin- eller Ethereum-overførsler. CrowdStrike vurderede, at EggJagger alene havde stjålet mindst 150.000 dollar i kryptovaluta. 6

Shadowservers rolle

Shadowserver Foundation var en partner fra den private sektor i den multinationale indsats og arbejdede sammen med CrowdStrike og myndighederne. Det amerikanske Justitsministerium pegede på begge organisationer som samarbejdspartnere i den koordinerede operation mod Sality og dets infrastruktur. 1

Samarbejdet var centralt, fordi en botnet-forstyrrelse ikke kun er en teknisk eller juridisk opgave. Beslaglæggelse af domæner kræver juridisk hjemmel og international koordinering, mens sinkholing kræver specialiseret teknisk analyse og operationel gennemførelse. Kombinationen begrænsede operatørens mulighed for at nå de kompromitterede enheder. 17

Hvorfor Sality stadig er et sikkerhedsproblem

At et botnet er forstyrret, betyder ikke, at alle inficerede computere er renset. CrowdStrike oplyste, at Sality havde gjort det muligt at distribuere skadelige programmer til over 33.000 inficerede maskiner på verdensplan. 7

For it-sikkerhedsansvarlige kan en inficeret enhed stadig være en mulig indgang til organisationen. Den kan fortsat indeholde malware, have været udsat for tyveri af loginoplysninger eller kræve undersøgelse for efterfølgende aktivitet. Sinkhole-operationen afbryder den aktive kommandovej, som indsatsen ramte, men berørte systemer skal stadig identificeres og afhjælpes.

Det langsigtede udfald er desuden usikkert. Salitys operatør er ikke offentligt identificeret, og de tilgængelige oplysninger understøtter, at der er tale om en forstyrrelse – ikke et bevis på, at truslen aldrig kan vende tilbage. Operatøren kan forsøge at genvinde adgangen, ændre malwaren eller etablere erstatningsinfrastruktur. 17

Den vigtigste læring

Sality-sagen viser, hvorfor P2P-botnet kan være så sejlivede – og hvorfor det kræver mere end at lukke nogle få servere at standse dem. Den decentraliserede konstruktion hjalp Sality med at overleve i årevis, men netop mekanismen til at finde andre noder gav efterforskerne en vej til at isolere netværket, da reverse engineering, sinkholing og international juridisk indsats blev koordineret. 167