Das US-Justizministerium gab bekannt, dass eine von den USA geführte internationale Cyber-Operation, an der Bulgarien, Ungarn und Rumänien beteiligt waren, das seit Langem aktive Sality-Botnetz erfolgreich gestört hat. An der Aktion waren das US-Justizministerium, das Federal Bureau of Investigation und die Defense Criminal Investigative Service beteiligt und sie wurde von Organisationen wie Europol, Eurojust, CrowdStrike und der Shadowserver Foundation unterstützt.
Vom Dateivirus zum P2P-Netzwerk entwickelt
Sality trat erstmals 2003 auf und war ursprünglich ein Schadprogramm, das Windows-Exekutables infizieren konnte. Später entwickelte es sich zu einem dezentralen Peer-to-Peer- oder kurz P2P-Botnetz. Der Virus kann sich an ausführbare Dateien auf einem Computer anheften und sich über freigegebene Ordner, USB-Speichergeräte und Dateifreigabenetzwerke weiterverbreiten.
Im Gegensatz zu herkömmlichen Botnetzen, die auf zentralen Command-and-Control-Servern basieren, können sich bei Sality infizierte Geräte direkt untereinander Knoten und Befehle austauschen. Selbst wenn Teile von Servern oder Computern abgeschaltet werden, kann das übrige Netzwerk weiter funktionieren – daher ist es Sality über viele Jahre hinweg nur schwer gelungen, es durch das übliche Vorgehen, beschlagnahmte/abgeschaltete C2-Server zu stoppen, vollständig einzudämmen.
Europol zufolge konnte der Betreiber im Hochbetrieb von Sality auf bis zu etwa 1 Million infizierte Computer zugreifen. Bis zu dieser Aktion belief sich die Zahl der einzelnen IP-Adressen, die im Laufe der Jahre mit seiner Infrastruktur in Verbindung standen, auf über 11 Millionen. CrowdStrike schätzt, dass vor der Aktion noch mehr als 15.000 infizierte Computer eine von Sality übermittelte schädliche Payload empfangen konnten.
P2P-Architektur missbrauchen, um die Kontrolle der Betreiber zu unterbrechen
Im Kern der Aktion stehen das P2P-„Sinkholing“ sowie die Manipulation der Knotentabellen. Die Sality-Computer speichern eine Liste der „Superknoten“ und prüfen etwa alle 40 Minuten, ob die entsprechenden Knoten noch online sind.
CrowdStrike-Forscher nutzten eine Schwachstelle in Sality-Knoten ohne Authentifizierungsprüfung: Sie entfernten schrittweise die ursprünglichen bösartigen Knoten aus den Listen der infizierten Geräte und fügten dann Sinkhole-Knoten ein, die von den Security-Teams kontrolliert werden. Dadurch verlieren die infizierten Computer nach und nach den Kontakt zu den echten Betreibern und können weder neue Befehle erhalten noch andere Schadprogramme herunterladen.
US-Behörden beschlagnahmten gleichzeitig inländische Domains im Zusammenhang mit Sality. Auch die Strafverfolgungsbehörden in Bulgarien, Ungarn und Rumänien gingen gegen die in Europa befindlichen entsprechenden Domains vor und blockierten so weitere Ausweichwege, über die Sality schädliche Payloads herunterladen konnte.
Zuvor über das „Kopierbrett-Überfall“-Verfahren (Clipboard Hijacking) Kryptowährung gestohlen
Sality selbst diente vor allem als Verteilplattform für andere Schadsoftware; in den vergangenen Jahren wurde es unter anderem zum Verbreiten von Tools zum Diebstahl von Passwörtern, von Spam-Mail-Programmen, von Proxy-Server-Software, von Netzwerks-Exploit-Tools sowie von Programmen für verteilte Denial-of-Service-(DDoS-)Angriffe verwendet.
CrowdStrike zufolge wurden in den vergangenen etwa acht Jahren von Sality vor allem die sogenannte „Clipboard Hijacking“-Software mit dem Namen EggJagger verteilt. Wenn Nutzer Adressen von Bitcoin- oder Ethereum-Wallets kopierten, ersetzte EggJagger die Adresse heimlich durch eine vom Angreifer kontrollierte Adresse, sodass die Kryptowährungen in das Wallet der Kriminellen überwiesen wurden. CrowdStrike schätzt, dass die Betreiber allein auf diese Weise mindestens etwa 150.000 US-Dollar an Kryptowährung stahlen; Einnahmen aus anderen schädlichen Payloads wurden dabei nicht eingerechnet.
Die Abschaltung der kontrollierten Infrastruktur bedeutet nicht, dass das Virus vollständig verschwunden ist.
CrowdStrike zufolge wird Sality derzeit nicht mehr von den ursprünglichen Betreibern kontrolliert. Es wird jedoch betont, dass die Maßnahme nur verhindern kann, dass infizierte Geräte neue schädliche Payloads empfangen; die bereits im Computer vorhandenen Sality-Programme und andere zuvor heruntergeladene Schadsoftware können weiterhin funktionieren.
Die Shadowserver Foundation arbeitet gemeinsam mit Internet-Service-Providern und CERT-Organisationen (Computer Emergency Response Teams) verschiedener Länder daran, die Infektionsquellen zu identifizieren und die Opfer zu benachrichtigen. Da bislang niemand festgenommen wurde, könnten die Betreiber versuchen, ein neues bösartiges Netzwerk aufzubauen. Daher sollte die Aktion als erfolgreiches Neutralisieren der bestehenden Kontrollarchitektur von Sality betrachtet werden, nicht als vollständige Beseitigung aller Infektionen und weiterer nachfolgender Bedrohungen.
"Störaktion gegen seit 23 Jahren betriebenes Sality-Botnetz gelingt im internationalen Verbund – mehr als 15.000 infizierte Geräte sind vom Betreiber abgekoppelt" – dieser Artikel wurde zuerst veröffentlicht bei (Block Investor).