LONDON (IT BOLTWISE) – US-Behörden haben im Rahmen einer koordinierten Aktion das bekannte P2P-Botnet Sality abgeschaltet. Im Zentrum stand ein Peer-to-Peer-Sinkhole, das die Knoten der Malware aus dem Kontrollfluss der Angreifer herauslöst. Gleichzeitig wurden bei Domains in den USA und in Europa Beschlagnahmungen vorgenommen, damit keine neuen Payloads mehr nachgeladen werden. Betroffen bleibt, dass bereits installierte Schadsoftware auf den kompromittierten Systemen weiter aktiv sein kann.
Das P2P-Botnet Sality ist seit 2003 in freier Wildbahn dokumentiert und galt lange als besonders schwer zu stoppen, weil es seine Ausführung nicht an einen zentralen Command-and-Control-Server bindet. Stattdessen kommunizieren die Varianten über ein Peer-to-Peer-Netzwerk und können sich dadurch auch dann weiter verbreiten, wenn klassische Abschaltmaßnahmen greifen würden. Genau dieses Prinzip adressiert die jetzt gemeldete gemeinsame Operation: Sie nutzt eine P2P-Sinkhole-Strategie, um die Struktur des Botnetzes gegen sich selbst zu wenden.
Die Operation wurde laut Angaben von US-Stellen am 31. August 2026 umgesetzt, unterstützt von Behörden aus Bulgarien, Ungarn und Rumänien sowie in Zusammenarbeit mit der Privatindustrie. Im technischen Kern geht es darum, die Peers des Botnetzes so zu isolieren, dass sie nicht mehr die für die Ausführung und das Nachladen relevanten Anweisungen erhalten. Parallel wurden Domains in den USA und in Teilen Europas beschlagnahmt, die mit Sality in Verbindung standen. Für Organisationen bedeutet das vor allem: Es lässt sich der Zustrom neuer Schadmodule stoppen, aber die Hygiene auf bereits kompromittierten Endpunkten muss dennoch zeitnah erfolgen.
Damit ist auch ein wichtiger Punkt für IT- und Security-Teams verbunden: Sality ist nicht nur ein generisches „Infektionswerkzeug“, sondern ein Modulträger. Eine der zentralen Payloads ist EggJagger, ein Clipper bzw. Clipjacking-Tool, das fortlaufend die Zwischenablage eines Systems überwacht und kryptografische Wallet-Adressen ersetzt. Dadurch sollen Transaktionen so umgeleitet werden, dass Gelder am Ende beim Angreifer landen. In den Angaben zur Operation wird ein Mindestumfang von 150.000 US-Dollar genannt, der über diesen Mechanismus erzielt worden sein soll.
Technisch relevant ist vor allem, warum das Botnet nicht einfach wie eine klassische Schadsoftware per Patch „repariert“ werden kann. Laut der Darstellung zur Gegenmaßnahme arbeitet Sality als File-Infector: Es verbreitet sich, indem es sich an ausführbare Dateien auf dem Datenträger anheftet. Dadurch existiert kein nahtloser Weg, das Verhalten über ein zentrales Update von außen anzupassen, wie man es bei malware-basierten C2-gestützten Modellen häufig kennt. Gleichzeitig beschreibt die Operation, wie Sality über mehrere Jahre hinweg Varianten hervorgebracht hat, die die P2P-Kommunikation nutzen, um auch nach dem Abschalten einzelner Infrastrukturbestandteile weiterzulaufen.
Die konkrete Disruption setzt auf eine Methode, die in früheren Botnet-Stops bereits in ähnlicher Form genutzt wurde: Peer List Manipulation. Das Prinzip lautet: Die Schadsoftware vertraut darauf, dass die über die P2P-Schicht gewonnenen „Super Peers“ tatsächlich legitime Mitglieder sind. Die Bots prüfen zwar regelmäßig, ob gespeicherte Peers erreichbar sind, aber ohne eine ausreichende Authentifizierung, kryptografische Identität oder eine vertrauensbasierte Allowlist. So kann die Gegenmaßnahme während der Peer-Verifikation legitime Einträge aus der Peer-Liste entfernen und gezielt Sinkhole-Einträge in die „geleerte“ Struktur einsetzen. Besonders wirksam ist das, weil Super Peers als Rückgrat des Kommunikationspfads dienen und ihre Isolation dann dafür sorgt, dass URL- und Datei-Pakete nicht mehr weiter propagieren.
Zum Ablauf gehört außerdem ein Wartungszyklus: Die Bots „checken“ gespeicherte Peers in Intervallen von rund 40 Minuten. Peers, die korrekt antworten, gewinnen Reputation; Peers, die ausfallen, verlieren sie und werden später aus dem Pool entfernt. Genau in diesem Mechanismus liegt die Angriffsfläche der Verteidigung, weil Manipulationen während der Verifikation die Netzwerkwahl und damit den Datenfluss beeinflussen können. Für viele Infektionen, die hinter Firewalls oder Network Address Translation (NAT) liegen, kommt eine weniger invasive Variante hinzu: Wenn diese Systeme die vorgesehenen Wartungsanfragen im normalen Rhythmus absetzen, werden ihre Peer-Listen im Sinkhole-Kontext bereinigt, wodurch die Verbindung langfristig abreißt.
Die Operation adressiert damit nicht nur „kommende“ Payloads, sondern auch bereits veröffentlichte Downloadquellen. In den Angaben wird eine Reihe von URL-Zielen genannt, über die Sality Komponenten nachladen konnte; deren Abschaltung bzw. Unterbindung verhindert den erneuten Bezug weiterer Module. Für die Erkennung wird empfohlen, Netzwerkprotokolle und Endpoint-Telemetrie auf UDP-Verkehr zu einem als „lighthouse“ bezeichneten Ziel zu prüfen (IP: 188.166.101[.]148.). Laut den veröffentlichten Aussagen bleibt zudem ein wichtiger Nacharbeitsschritt: Selbst wenn neue Payloads gestoppt werden, können bereits installierte Schadfunktionen auf betroffenen Systemen aktiv bleiben und müssen entfernt werden.
Aus Sicht des Marktes und der Architekturdisziplin liefert die Aktion zugleich eine Gegenargumentation zu einem verbreiteten Sicherheitsnarrativ: P2P wird oft als „Resilienz-Verstärker“ für Angreifer betrachtet, weil zentrale Abschaltungen schwerer sind. Die jetzt beschriebene Vorgehensweise zeigt aber, dass auch verteilte Systeme über ihre Protokollannahmen angreifbar bleiben, wenn Verteidiger das Verhalten hinreichend genau verstehen und die Maßnahmen koordiniert umsetzen. Für Unternehmen ist das ein Signal, ihre Abwehr nicht nur auf klassische C2-Modelle auszurichten, sondern auch auf Indikatoren, die aus Peer-to-Peer-Kommunikation, untypischen Wartungszyklen und zielgerichtetem UDP-Verhalten entstehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "US-Behörden zerstören Sality per P2P-Sinkhole: Botnet verliert neue Payloads" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "US-Behörden zerstören Sality per P2P-Sinkhole: Botnet verliert neue Payloads" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »US-Behörden zerstören Sality per P2P-Sinkhole: Botnet verliert neue Payloads« bei Google Deutschland suchen, bei Bing oder Google News!