Mobile-Menu

Ermittlungen seit 2017 Europol stört Sality-Botnetz nach mehr als zwei Jahrzehnten

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
FTAPI Software GmbH
Arvato Systems GmbH

Internationale Akteure konnten den Steuerungskanal des Sality-Botnetzes außer Betrieb setzen. Über elf Millionen eindeutige IP-Adressen waren mit dem seit mehr als 20 Jahren aktiven Netzwerk verknüpft. Die Operation setzte auf P2P-Sinkholing.

Das Sality-Botnetz war mutmaßlich seit mehr als zwei Jahrzehnten weltweit aktiv und verschaffte seinen Betreibern zeitweise Zugriff auf bis zu eine Million infizierte Systeme.(Bild: Aidas - stock.adobe.com)
Das Sality-Botnetz war mutmaßlich seit mehr als zwei Jahrzehnten weltweit aktiv und verschaffte seinen Betreibern zeitweise Zugriff auf bis zu eine Million infizierte Systeme.
(Bild: Aidas - stock.adobe.com)

Eine von den USA geleitete, internationale Operation hat am 31. August 2026 die Infrastruktur des Sality-Botnetzes gestört. Dies teilte Europol am 2. September in einer Pressemeldung mit. Beteiligt waren Strafverfolgungsbehörden aus Bulgarien, Ungarn, Rumänien und den USA sowie Europol, Eurojust und die europäische EMPACT-Plattform. Crowdstrike und die Shadowserver Foundation unterstützten die Behörden mit technischer Expertise und Infrastrukturanalysen.

Sality ist ein Peer-to-Peer-Botnetz (P2P), dessen Betreiber nach Angaben von Europol zeitweise Zugriff auf bis zu eine Million infizierte Systeme hatten. Das Botnetz war mutmaßlich seit mehr als zwei Jahrzehnten aktiv. Bislang wurden mehr als elf Millionen eindeutige IP-Adressen mit der Infrastruktur in Verbindung gebracht. Diese Zahl entspricht nicht zwangsläufig ebenso vielen infizierten Geräten, da IP-Adressen wechseln oder von mehreren Systemen genutzt werden können. Das Botnetz konnte genutzt werden, um Schadprogramme an kompromittierte Rechner zu verteilen.

Infizierte Systeme kommunizieren direkt

Anders als herkömmliche Botnetze mit einem zentralen Command-and-Control-Server kommunizieren P2P-Botnetze über die infizierten Geräte direkt miteinander. Diese dezentrale Architektur erschwert die Zerschlagung. Denn das Abschalten einzelner Systeme oder Server legt nicht automatisch das gesamte Netzwerk still.

Die Ermittler führten deshalb eine P2P-Sinkholing-Operation durch. Dabei wurden Kommunikationsversuche infizierter Geräte von der kriminellen Infrastruktur zu einer kontrollierten Infrastruktur umgeleitet. Nach Darstellung von Europol isolierte dies kompromittierte Rechner vom Botnetz und machte den Steuerungskanal der Betreiber funktionsunfähig.

Ermittlungen seit 2017

Europol unterstützt seit 2017 internationale Ermittlungen gegen Sality. In den Wochen vor der aktuellen Aktion koordinierten die Beteiligten ihre Maßnahmen in wöchentlichen operativen Besprechungen. Das European Cybercrime Centre (EC3) von Europol übernahm dabei den Austausch und die Auswertung von Cyber-Threat-Intelligence. Die Joint Cybercrime Action Taskforce organisierte operative Treffen der Partner.

Auf Seiten der Behörden beteiligten sich die bulgarische Generaldirektion zur Bekämpfung der organisierten Kriminalität, die Cybercrime-Abteilung des ungarischen National Bureau of Investigation, die rumänische Polizei und die US-Behörden Department of Justice, FBI und Defense Criminal Investigative Service. Europol veröffentlichte keine Angaben zu Festnahmen oder zu den mutmaßlichen Betreibern des Botnetzes.

(ID:50947277)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte