Tausende Systeme infiziert: Behörden zerschlagen 23 Jahre altes Botnetz

Ein Schlag gegen die Cyberkriminalität: Sality-Botnetz nach 23 Jahren zerschlagen

In einer großangelegten internationalen Operation ist es Strafverfolgungsbehörden aus mehreren Ländern gelungen, eines der langlebigsten und hartnäckigsten Botnetze der Internetgeschichte zu neutralisieren. Das als Sality bekannte Netzwerk, das bereits seit dem Jahr 2003 aktiv war, wurde nun durch koordinierte Maßnahmen der Behörden zerschlagen. Die Operation markiert das Ende einer Bedrohung, die über zwei Jahrzehnte hinweg die digitale Sicherheit weltweit gefährdet hat. Zuletzt waren noch immer mehr als 15.000 Computer weltweit Teil dieses Netzwerkes, darunter auch Systeme innerhalb Deutschlands. Die Zerschlagung erfolgte durch eine sogenannte Sinkholing-Operation, bei der die Kontrolle über die Kommunikationswege der Malware übernommen wurde, um die Verbindung zwischen den infizierten Rechnern und den Betreibern dauerhaft zu trennen. Die US-Staatsanwaltschaft bestätigte den Erfolg der Ermittlungen in einer offiziellen Mitteilung und betonte die Bedeutung dieses Schlages gegen die organisierte Cyberkriminalität, die das Botnetz für diverse illegale Zwecke wie Kryptodiebstahl und DDoS-Attacken missbraucht hatte.

Details zur Struktur und den Auswirkungen der Infektionen

Das Sality-Botnetz basierte auf einer dezentralen Peer-to-Peer-Architektur (P2P), was es für Sicherheitsforscher besonders schwer machte, den Betrieb zu unterbinden. Diese Struktur ermöglichte es den Kriminellen, die infizierten Rechner ohne das Wissen der eigentlichen Besitzer zu steuern und Befehle aus der Ferne auszuführen. Laut den Analysen der Sicherheitsexperten von Crowdstrike, die die Ermittlungen maßgeblich unterstützten, war das Netzwerk zuletzt auf über 15.000 aktive Knoten angewachsen. Eine von Crowdstrike veröffentlichte geografische Karte verdeutlichte das Ausmaß der Infektionen, die sich über den gesamten Globus erstreckten. Auch wenn für einzelne Nationen keine exakten Statistiken vorliegen, belegen die Daten eine deutliche Präsenz infizierter Systeme innerhalb der Bundesrepublik Deutschland. Im Zuge der Operation wurden zudem mehrere Domains beschlagnahmt, die als zentrale Anlaufpunkte für die Steuerung der Malware dienten. Die technische Umsetzung des Sinkholings stellt sicher, dass die betroffenen Rechner keine neuen Befehle mehr von den Kriminellen empfangen können, womit die operative Kontrolle der Täter effektiv unterbunden wurde.

Ein Rückblick auf zwei Jahrzehnte Cyber-Bedrohung

Die Geschichte von Sality reicht bis in das Jahr 2003 zurück, womit es zu den ältesten bekannten Botnetzen im Internet zählt. Über einen Zeitraum von 23 Jahren konnte sich das Netzwerk durch seine robuste Architektur gegen zahlreiche Versuche zur Abschaltung wehren. Die Malware zeichnete sich dadurch aus, dass sie modular aufgebaut war, was den Betreibern erlaubte, jederzeit neuen Schadcode auf infizierte Systeme nachzuladen. Diese Flexibilität war der Grund dafür, dass Sality über die Jahre hinweg für eine Vielzahl unterschiedlicher Cyberangriffe genutzt werden konnte. Ursprünglich oft als einfache Malware gestartet, entwickelte sich das Botnetz zu einer multifunktionalen Plattform für Kriminelle. Die Fähigkeit, sich über so lange Zeit im Netz zu halten, unterstreicht die Komplexität der Bedrohungslage, mit der sich Sicherheitsbehörden und Experten konfrontiert sahen. Die nun erfolgte Zerschlagung ist das Resultat einer langjährigen Beobachtung und einer intensiven internationalen Zusammenarbeit, die notwendig war, um die dezentralen Strukturen des Botnetzes nachhaltig zu destabilisieren und die kriminellen Aktivitäten zu beenden.

Die Akteure hinter der internationalen Operation

Der Erfolg gegen Sality ist das Ergebnis einer beispiellosen Kooperation zwischen nationalen und internationalen Institutionen. Neben der US-Staatsanwaltschaft waren maßgeblich die europäischen Behörden Europol und Eurojust in die Planung und Durchführung der Operation eingebunden. Auch die Strafverfolgungsbehörden aus Bulgarien, Ungarn und Rumänien spielten eine entscheidende Rolle bei der Zerschlagung des Netzwerks. Neben den staatlichen Akteuren leisteten private Sicherheitsexperten einen wesentlichen Beitrag zur technischen Aufarbeitung. Insbesondere die Spezialisten von Crowdstrike sowie die Shadowserver Foundation lieferten die notwendigen Analysen und technischen Infrastrukturen, um das Sinkholing erfolgreich durchzuführen. Diese Zusammenarbeit zwischen staatlichen Stellen und der privaten Sicherheitsindustrie wird von Experten als notwendiges Modell für die Bekämpfung moderner, global agierender Cyberkriminalität angesehen. Die Beteiligten arbeiteten über Monate hinweg eng zusammen, um die Infrastruktur des Botnetzes zu identifizieren und die notwendigen rechtlichen Schritte für die Beschlagnahmung der Domains sowie die Neutralisierung der P2P-Verbindungen einzuleiten.

Einordnung der Bedrohungslage und der Schadenspotenziale

Einzuordnen ist die Zerschlagung von Sality als ein bedeutender Erfolg im Kampf gegen die organisierte Internetkriminalität. Den Berichten zufolge wurde das Botnetz für ein breites Spektrum an schädlichen Aktivitäten missbraucht. Dazu zählten unter anderem das Einschleusen von Malware zum Abgreifen sensibler Zugangsdaten, der Versand von Spam-Mails sowie die Bereitstellung von Proxy-Diensten für illegale Zwecke. Besonders hervorzuheben ist der Diebstahl von Kryptowährungen wie Bitcoin oder Ethereum. Die Malware war in der Lage, Wallet-Adressen in der Zwischenablage infizierter Computer heimlich auszutauschen, sodass Überweisungen direkt auf die Konten der Kriminellen umgeleitet wurden. Zudem wurde das Botnetz für DDoS-Attacken verwendet, um gezielt Webdienste lahmzulegen. Die Langlebigkeit von Sality zeigt, wie schwer es ist, dezentrale Strukturen dauerhaft zu entfernen. Die Experten von Crowdstrike bezeichneten Sality aufgrund seiner Architektur als eine der hartnäckigsten Malware-Bedrohungen. Die Zerschlagung bedeutet jedoch nicht, dass die Gefahr für die einzelnen Nutzer sofort vollständig gebannt ist, da die Schadsoftware auf den infizierten Systemen weiterhin vorhanden bleibt.

Offene Fragen und der weitere Umgang mit infizierten Systemen

Trotz des Erfolgs der Behörden bleiben einige Fragen offen. Der Quelltext macht beispielsweise keine Angaben dazu, wer die Urheber hinter dem Botnetz waren oder ob es bereits Festnahmen im Zusammenhang mit der Operation gab. Auch bleibt unklar, wie hoch der finanzielle Gesamtschaden ist, der durch die Aktivitäten von Sality über die zwei Jahrzehnte hinweg entstanden ist. Zudem ist die genaue Verteilung der infizierten Systeme auf die einzelnen Länder nicht detailliert aufgeschlüsselt, was eine Einschätzung der spezifischen Betroffenheit in Deutschland erschwert. Wie es weitergeht, ist jedoch bereits in groben Zügen skizziert: Die betroffenen Nutzer sollen in naher Zukunft über ihre jeweiligen Internetanbieter informiert werden. Es ist jedoch wichtig zu betonen, dass das Sinkholing lediglich die Kommunikation unterbricht, nicht aber die Malware selbst von den infizierten Rechnern entfernt. Die Nutzer sind daher selbst in der Pflicht, ihre Systeme zu bereinigen, da die Schadsoftware weiterhin aktiv auf den betroffenen Geräten verbleibt und potenziell andere Sicherheitslücken offenlassen könnte.