Sality nach 23 Jahren gestört: So wurde das P2P-Botnetz ausgebremst

Am 31. August 2026 haben Strafverfolgungsbehörden und private Partner das seit mehr als zwei Jahrzehnten aktive Sality-Botnetz in einer internationalen Aktion gestört. Dabei kombinierten sie gerichtlich abgesicherte Domain-Beschlagnahmungen mit einem technischen Eingriff in das Peer-to-Peer-Netzwerk (P2P): Infizierte Computer wurden von der Infrastruktur des Betreibers weg und zu kontrollierten Sinkholes umgeleitet. Beteiligt waren das US-Justizministerium, das FBI und der Defense Criminal Investigative Service sowie Behörden in Bulgarien, Ungarn und Rumänien, CrowdStrike und die Shadowserver Foundation. 167

Domains beschlagnahmt – und das Netzwerk selbst ausgebremst

US-Behörden beschlagnahmten Sality zugeordnete Domains, über die kompromittierte Computer gesteuert und weitere Schadprogramme verteilt wurden. Zusätzliche Infrastruktur wurde von Behörden in Bulgarien, Ungarn und Rumänien angegangen. 16

Das reichte allein jedoch nicht aus. Sality war als P2P-Botnetz aufgebaut: Befallene Rechner konnten untereinander Informationen über weitere infizierte Systeme austauschen. Anders als bei einem Botnetz mit wenigen zentralen Command-and-Control-Servern blieb das Netzwerk dadurch widerstandsfähig, selbst wenn einzelne Domains oder Server verschwanden. 67

Das CrowdStrike-Team Counter Adversary Operations führte deshalb parallel zur Ermittlungsarbeit eine P2P-Sinkhole-Operation durch. Ihr Ziel: infizierte Systeme isolieren und den Kommunikationskanal des Betreibers wirkungslos machen. 17

Die Stärke des P2P-Designs wurde zum Angriffspunkt

CrowdStrike analysierte Salitys P2P-Kommunikation per Reverse Engineering und nahm die Peer-Liste ins Visier – also die Information, mit deren Hilfe kompromittierte Geräte andere infizierte Rechner finden. Die Forscher fanden Schwachstellen bei der Annahme und Weitergabe dieser Daten und speisten falsche Peer-Informationen in das Netz ein. 613

Praktisch bedeutete das: Infizierte Rechner verbanden sich nun mit kontrollierter Sinkhole-Infrastruktur statt mit dem Netz des Betreibers. Damit konnte dieser über das aktive Botnetz keine neuen Download-Anweisungen oder zusätzlichen Schadprogramme mehr ausliefern. 67

Gerade das machte die Aktion ungewöhnlich anspruchsvoll. Es ging nicht darum, einen zentralen Server abzuschalten, sondern ein verteiltes System zu neutralisieren, dessen infizierte Teilnehmer Netzwerkinformationen selbstständig weitergeben konnten. Nötig waren daher sowohl rechtliche Schritte gegen die Domains als auch ein synchronisierter technischer Eingriff, der den eigenen Suchmechanismus des Botnetzes übernahm. 167

Wofür Sality eingesetzt wurde

Sality war mehr als 20 Jahre aktiv und diente dazu, Schadsoftware auf infizierte Systeme zu bringen. Offizielle Angaben und Berichte nennen Spam-Aktivitäten, DDoS-Angriffe (Distributed Denial of Service), den Diebstahl von Zugangsdaten und Kryptowährungen. 6

Ein dokumentiertes Beispiel ist die Schadsoftware EggJagger. Sie überwachte die Zwischenablage eines Opfers auf Adressen von Kryptowallets und ersetzte diese durch eine vom Angreifer kontrollierte Adresse. Vorgesehene Bitcoin- oder Ethereum-Transfers konnten so umgeleitet werden. CrowdStrike schätzte den allein durch EggJagger verursachten Diebstahl auf mindestens 150.000 US-Dollar in Kryptowährungen. 6

Die Rolle der Shadowserver Foundation

Die Shadowserver Foundation war als Partner aus dem Privatsektor an der multinationalen Störung beteiligt. Das US-Justizministerium nannte die Organisation neben CrowdStrike ausdrücklich als Mitwirkende an der koordinierten Aktion gegen Sality und dessen Infrastruktur. 1

Der Fall zeigt, weshalb Botnetz-Störungen nicht allein ein technisches oder juristisches Problem sind: Domain-Beschlagnahmungen brauchen rechtliche Befugnisse und internationale Kooperation. Sinkholing setzt dagegen spezialisierte technische Analyse und präzise operative Umsetzung voraus. Erst die Kombination beider Ansätze verringerte die Möglichkeit des Betreibers, die kompromittierten Systeme weiter zu erreichen. 17

Warum Sality trotz der Aktion ein Sicherheitsrisiko bleibt

Ein gestörtes Botnetz bedeutet nicht, dass jede infizierte Maschine automatisch bereinigt ist. CrowdStrike zufolge ermöglichte Sality die Verteilung von Schadprogrammen an mehr als 33.000 infizierte Rechner weltweit. 7

Für IT-Sicherheitsverantwortliche bleibt ein kompromittierter Endpunkt ein möglicher Einstiegspunkt: Er kann weiterhin Malware enthalten, von Zugangsdatendiebstahl betroffen gewesen sein oder eine Untersuchung auf weitere Aktivitäten erforderlich machen. Das Sinkhole unterbricht den in der Operation beschriebenen aktiven Steuerweg – die betroffenen Systeme müssen dennoch identifiziert und bereinigt werden.

Auch der langfristige Ausgang ist offen. Der Betreiber von Sality wurde öffentlich nicht identifiziert. Die verfügbare Berichterstattung belegt daher eine Störung, nicht aber, dass die Gefahr dauerhaft ausgeschlossen ist. Der Betreiber könnte versuchen, erneut Zugriff zu erhalten, die Schadsoftware anzupassen oder Ersatzinfrastruktur aufzubauen. 17

Die zentrale Lehre aus Sality

Der Fall Sality verdeutlicht, warum P2P-Botnetze so langlebig sein können – und warum ihre Bekämpfung mehr verlangt als das Abschalten einiger Server. Die dezentrale Architektur half dem Netz über Jahre hinweg zu bestehen. Zugleich eröffnete gerade der Mechanismus zur Peer-Erkennung den Ermittlern einen Weg, das Netzwerk zu isolieren: durch abgestimmtes Reverse Engineering, Sinkholing und internationale Rechtsdurchsetzung. 167