Sality-Botnetz: DOJ und CrowdStrike zerschlagen 23 Jahre alte Infrastruktur
Veröffentlicht am: 02.09.2026 um 16:22 Uhr | Redaktion boerse-global.de
In einer großangelegten internationalen Operation haben das US-Justizministerium (DOJ), das FBI und der Cybersicherheitsdienstleister CrowdStrike damit begonnen, das Sality-Botnetz zu zerschlagen.
Die Infrastruktur, die bereits seit dem Jahr 2003 aktiv ist, gilt als eines der langlebigsten und widerstandsfähigsten Netzwerke infizierter Computer weltweit. Die konzertierte Aktion umfasst die Beschlagnahmung von Domains sowie technische Eingriffe in die Kontrollkanäle des Netzwerks.
Multinationale Zusammenarbeit gegen Cyberkriminalität
An der Operation sind neben den US-amerikanischen Bundesbehörden auch der Defense Cyber Investigative Service (DCIS) sowie europäische Partner beteiligt. Die Behörden in Bulgarien, Ungarn und Rumänien handelten in enger Abstimmung mit den US-Stellen, wobei die Koordination teilweise über Europol erfolgte.
Bundesstaatsanwälte in Los Angeles kündigten das Vorhaben als eine multinationale Anstrengung an, um die kriminelle Infrastruktur dauerhaft zu neutralisieren.
Der Beginn der aktiven Zerschlagung wurde im Rahmen eines Branchentreffens in Las Vegas eingeleitet. Während in den USA Domains beschlagnahmt wurden, konzentrierten sich die Maßnahmen in Europa auf die physische und digitale Infrastruktur in den beteiligten Partnerländern. Trotz des massiven Schlags gegen die technische Basis wurden bisher keine Festnahmen im Zusammenhang mit der Operation bekannt gegeben.
Technische Isolation durch Sinkholing
Eine zentrale Rolle bei der Zerschlagung spielt die technische Expertise von CrowdStrike. Die Sicherheitsforscher nutzten ein Verfahren namens Sinkholing, um die Peer-to-Peer-Kontrollkanäle (P2P) des Botnetzes zu übernehmen. Durch das Injizieren falscher Informationen in das Netzwerk gelang es, die infizierten Maschinen von ihren eigentlichen Controllern zu trennen.
Der Fall des Sality-Botnetzes verdeutlicht, wie wichtig proaktiver Schutz vor Cyberangriffen heute für jedes Unternehmen ist. In diesem kostenlosen E-Book erfahren Sie, wie Sie Sicherheitslücken schließen und Ihre Firma langfristig vor aktuellen Bedrohungen absichern. IT-Sicherheit stärken und Unternehmen schützen
Tillmann Werner, Forscher bei CrowdStrike, bezeichnete die Aktion als die komplexeste Übernahme eines Botnetzes, die das Unternehmen bisher durchgeführt habe. Die P2P-Architektur von Sality, das seinen Ursprung mutmaßlich in Russland hat, machte das Netzwerk über zwei Jahrzehnte hinweg besonders widerstandsfähig gegen herkömmliche Abschaltungsversuche, da es keinen zentralen Server gab, den man einfach hätte deaktivieren können.
Ausmaß und wirtschaftlicher Schaden
Sality hat über die Jahre eine enorme Reichweite erzielt. Schätzungen zufolge waren im Laufe der Zeit über 11 Millionen einzigartige IP-Adressen weltweit mit dem Netzwerk verknüpft. Zu Spitzenzeiten hatten die Hintermänner Zugang zu rund einer Million infizierter Geräte gleichzeitig. Aktuelle Daten deuten darauf hin, dass zuletzt noch über 15.000 Geräte aktiv infiziert waren.
Angesichts immer komplexerer Cyberrisiken und neuer gesetzlicher Anforderungen müssen Verantwortliche jetzt handeln, um ihre digitale Infrastruktur zu kontrollieren. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und technischen Bedrohungen Unternehmer aktuell kennen müssen. Gratis-Report zu Cyberrisiken und KI-Gesetzen anfordern
Das Botnetz wurde für verschiedene kriminelle Aktivitäten genutzt, darunter Kryptowährungsdiebstahl und großflächige Cyberangriffe. Zuletzt verteilte die Infrastruktur die sogenannte EggJagger-Malware. Diese wurde für das sogenannte Clipjacking eingesetzt, bei dem die Malware unbemerkt Kryptowährungsadressen in der Zwischenablage der Opfer austauscht, um Zahlungen auf Konten der Angreifer umzuleiten.
Der belegte finanzielle Schaden wird auf mindestens 12,1 Millionen Rubel beziffert, was etwa 150.000 US-Dollar entspricht. Die betroffenen Nutzer blieben über die Infektion ihrer Geräte oft vollständig im Unklaren, während ihre Rechenkapazität für kriminelle Zwecke missbraucht wurde.
Durch die aktuelle Umleitung der Kommunikation konnten diese infizierten Geräte nun isoliert werden, um weiteren Missbrauch zu verhindern. Neben CrowdStrike unterstützte auch die Organisation Shadowserver die Identifizierung und Absicherung der betroffenen Systeme.
