Das US-Justizministerium hat den Abschluss einer multinationalen Operation zur Zerschlagung des Botnetzes Sality bekanntgegeben – einer der ältesten noch aktiven P2P-Bedrohungen, die seit 2003 im Einsatz war. Die am 31. August 2026 von Strafverfolgungsbehörden der USA, Bulgariens, Ungarns und Rumäniens unter Beteiligung von CrowdStrike und der Shadowserver Foundation durchgeführte Operation umfasste die Übernahme der Steuerung des P2P-Netzwerks über einen Sinkhole-Mechanismus sowie die Beschlagnahme zugehöriger Domains in den USA und Europa. Organisationen, die eine Windows-Infrastruktur einsetzen, wird empfohlen, ihre Netzwerkprotokolle auf Anzeichen einer Infektion zu überprüfen – auf kompromittierten Rechnern bereits vorhandene Malware bleibt aktiv und muss entfernt werden.
Was ist Sality
Sality ist ein polymorpher File-Infector, der ausführbare Windows-Dateien infiziert und sich über Netzwerkfreigaben, USB-Geräte, E-Mail und kompromittierte Websites verbreitet. Ein zentrales Merkmal ist die dezentrale P2P-Architektur zur Steuerung, die es dem Botnetz ermöglichte, herkömmliche Takedown-Methoden zu umgehen, die auf der Abschaltung zentraler Command-and-Control-Server (C2) beruhen. Laut der Erklärung des Justizministeriums wurde das Botnetz für den Diebstahl von Kryptowährungen und für Cyberangriffe gegen Opfer in den USA und im Ausland eingesetzt.
Historische CISA-Berichte beschreiben Sality als Bedrohung, die sich über offene Dateifreigaben und angeschlossene Datenträger verbreitet, in der Lage ist, Security-Software zu blockieren und zusätzliche schädliche Komponenten zur Erbeutung von Zugangsdaten nachzuladen. CISA hat außerdem Sality beschrieben als polymorphen File-Infector mit dezentralisierter Update-Infrastruktur.
Attribution und Bedrohungskontext
Dem gemeinsamen CISA-Bulletin aus dem Jahr 2022 zufolge wird die Entwicklung und der Betrieb des Sality-Botnetzes von der Cybercrime-Gruppe SALTY SPIDER verantwortet. Obwohl die Hauptaktivitäten des Botnetzes auf finanzielle Gewinne ausgerichtet waren, dokumentierte CISA im Februar 2022 eine DDoS-Kampagne gegen ukrainische Webforen, in denen das russische militärische Vorrücken auf Charkiw diskutiert wurde. Dieser Umstand zeigt, dass die Betreiber bereit sind, die Botnetz-Infrastruktur auch zu politischen Zwecken einzusetzen.
Es ist wichtig zu betonen, dass die CISA-Attribution historischen Charakter hat und keine direkte Verbindung einer bestimmten Person oder Organisation zu der im September 2026 zerschlagenen Operation herstellt.
Mechanismus der Zerschlagung
Die Operation nutzte eine grundlegende Schwäche des Sality-P2P-Protokolls aus: das Fehlen von Authentifizierung, kryptografischer Identifikation der Teilnehmer und eines Mechanismus zur Überprüfung der Echtheit von Knoten. Jeder öffentlich erreichbare Rechner, der korrekt auf das P2P-Handshake reagierte, wurde vom Netzwerk als legitimer Teilnehmer akzeptiert. Diese architektonische Schwachstelle ermöglichte nach Angaben von Forschern die Übernahme der Kontrolle.
Parallel zur Übernahme des P2P-Netzwerks wurden Domains beschlagnahmt, die zur Bereitstellung von Sality-Payloads genutzt wurden. Die Domains wurden sowohl in den USA als auch in Europa mit Unterstützung der Strafverfolgungsbehörden Bulgariens, Ungarns und Rumäniens eingezogen.
Die Shadowserver Foundation arbeitet mit Internet-Providern und Incident-Response-Teams zusammen, um Sality-Infektionen zu identifizieren und bei der Benachrichtigung von Opfern sowie der Schadensbehebung zu unterstützen.
Strategischer Kontext
Das Justizministerium stellt die Operation dar als Umsetzung der ersten Säule der Cyberstrategie von Präsident Trump – „Gestaltung des gegnerischen Verhaltens“ (Shape Adversary Behavior), die auf die Identifizierung und Zerschlagung bösartiger Netzwerke sowie die Schwächung von Werkzeugen und Infrastruktur von Angreifern abzielt. Der Erste Stellvertretende US-Staatsanwalt Bill Essayli betonte, dass die erfolgreiche Zerschlagung die Wirksamkeit der Zusammenarbeit zwischen öffentlichem und privatem Sektor demonstriere.
FBI Assistant Director Patrick Grandy hob hervor, dass die Zusammenarbeit mit internationalen Strafverfolgungsbehörden und Partnern aus der Privatwirtschaft die Fähigkeiten des FBI zur Neutralisierung von Cyberbedrohungen stärkt.
Empfehlungen zu Erkennung und Reaktion
Die Zerstörung der P2P-Infrastruktur und die Beschlagnahme der Domains verhindern die Auslieferung neuer schädlicher Payloads, jedoch bleibt die bereits auf infizierten Systemen installierte Malware aktiv. Organisationen sollten:
- Netzwerkprotokolle und Endpoint-Telemetrie auf UDP-Traffic zu der IP-Adresse 188.166.101[.]148 prüfen – ein Treffer weist auf eine Sality-Infektion hin, die umgehend beseitigt werden muss
- auf Verbindungen zu den folgenden, mit der Bereitstellung von Payloads verbundenen Domains prüfen:
theunforgiven.p8[.]hu,painelwebradiodigital.awardspace[.]info,sgwebdesigner.free[.]fr,www.yonelco[.]com,pozdravizbeograda[.]com,highclass.atspace[.]com,situluimihai.3x[.]ro,gatheredovertime[.]com,imagebucket[.]biz - einen vollständigen Antivirus-Scan von Windows-Systemen mit Fokus auf die Integrität ausführbarer Dateien durchführen – Sality verbreitet sich, indem es sich in PE-Dateien auf dem Datenträger einbettet
- erkannte infizierte Rechner isolieren und eine Neuinstallation oder Wiederherstellung aus sauberen Backups durchführen
Die Zerschlagung von Sality ist ein seltenes Beispiel für die erfolgreiche Vernichtung eines P2P-Botnetzes, dessen Architektur als widerstandsfähig gegen herkömmliche Takedown-Methoden galt. Für Organisationen besteht die wichtigste Aufgabe jetzt nicht darin, den Erfolg der Operation zu feiern, sondern die eigene Infrastruktur zu überprüfen: Infizierte Rechner enthalten weiterhin aktive Malware, und der einzige Weg zu ihrer Beseitigung ist die Erkennung anhand der genannten Indikatoren für eine Kompromittierung und die vollständige Bereinigung der betroffenen Systeme.
