LONDON (IT BOLTWISE) – Das US-Justizministerium hat gemeinsam mit Partnern aus mehreren Ländern das P2P-Botnet Sality per Sinkhole-Betrieb gezielt unterbrochen. Die Maßnahme nutzt Peer-Listen-Manipulation, um superfähige Knoten zuerst zu isolieren und damit die Weiterleitung neuer Malware-Pakete zu stoppen. Betroffen sind auch Payload-URLs, über die weitere Komponenten nachgeladen werden konnten. Dennoch bleibt vorhandene Schadsoftware auf kompromittierten Rechnern aktiv und muss entfernt werden.
Die neue Strafverfolgungsmaßnahme gegen das P2P-Botnet Sality trifft ein Kernprinzip moderner Malware: Statt eines klassischen Command-and-Control-Servers setzt Sality auf ein dezentrales Peer-to-Peer-Netz. Genau diese Architektur galt lange als besonders schwer angreifbar, weil sie nicht einfach mit einer einzelnen Server-Schließung auszuhebeln ist. Nach Angaben des US-Justizministeriums (DoJ) wurde das Botnet am 31. August 2026 im Rahmen einer koordinierten Operation mit Behörden aus den USA, Bulgarien, Ungarn und Rumänien sowie mit privaten Partnern aus der Sicherheitsindustrie heruntergefahren. Dazu kombinierten die Beteiligten eine technische P2P-Sinkhole-Strategie mit der gezielten Sicherstellung von mit Sality verknüpften Domains.
Technisch entscheidend ist, warum dieser Zugriff überhaupt funktioniert: Sality verbreitet sich nicht über einen zentralen Update-Mechanismus, sondern arbeitet als File-Infector, also als Dateiinfizierer. Das bedeutet, dass das Botnet seine Ausbreitung über die Manipulation von ausführbaren Dateien auf dem Datenträger organisiert und nicht darauf angewiesen ist, dass infizierte Hosts regelmäßig neue Code-Teile von einem C2-Server abrufen. Laut Analysebasis der beteiligten Security-Spezialisten ist der P2P-Mechanismus zudem „nicht patchbar“ im Sinne einer nachträglichen Korrektur der Protokollregeln durch die Betreiber – ein Angriffspunkt, den die Gegenseite jetzt ausnutzt. Im Ergebnis wird nicht nur die Kommunikation gestoppt, sondern der gesamte Pfad für das Nachladen zusätzlicher Payloads.
Eine der genannten Hauptkomponenten ist EggJagger, ein Clipper beziehungsweise Clipjacking-Tool. Dabei überwacht die Schadsoftware kontinuierlich die Zwischenablage eines Geräts und ersetzt Kryptowährungs-Wallet-Adressen heimlich durch adressen, die vom Angreifer kontrolliert werden. Für diesen Mechanismus nennt der Bericht eine Größenordnung: Es wird geschätzt, dass die Verantwortlichen mindestens 150.000 US-Dollar über diese Methode gestohlen haben. Dass Sality in der Praxis nicht nur „Kassenbotnet“ ist, sondern auch für andere Zwecke umgebaut werden kann, stützt die Einordnung zusätzlich: Es werden drei markante DDoS-Kampagnen genannt, darunter Angriffe auf „forex2030[.]com“ (April 2016) und „kharkovforum[.]com“ (Februar 2022, einen Tag nach dem Beginn der russischen Großoffensive gegen die Ukraine), sowie Aktivitäten rund um „AvanChange“ im September 2023.
Der wahrscheinlich wichtigste Teil für Verteidiger liegt jedoch weniger in der Payload-Liste als in der Störungstechnik. Der Angriff dreht die Sality-eigene Netzwerkpflege gegen sie: Die Bots überprüfen laut Beschreibung regelmäßig alle 40 Minuten, ob gespeicherte Peers noch erreichbar sind, wobei erreichbare Kandidaten Reputation sammeln und nicht erreichbare Peers Reputation verlieren und schrittweise aus dem Pool entfernt werden. Genau diese Wartungslogik wird missbraucht. Die Beteiligten manipulieren während der Peer-Verifikation die Peer-Liste so, dass legitime super peer-Knoten aus der Kommunikation herausfallen, während „Sinkhole“-Einträge in die dadurch ausgedünnte Liste gelangen. Damit isoliert man zuerst die Knoten, die als Kommunikationsrückgrat funktionieren, sodass anschließend sowohl URL Packs als auch Datei-Pakete nicht mehr zuverlässig weiterpropagieren.
Diese Vorgehensweise knüpft an frühere disruptive Operationen an, die ebenfalls mit P2P-Listenmanipulation arbeiteten, etwa bei GameOver Zeus (2014) und Kelihos (2017). Der technische Hebel dahinter ist der gleiche: Die Bots vertrauen einem Peer, solange dieser korrekt auf den P2P-Handshake reagiert, ohne eine starke kryptografische Identität, ein Authentifizierungsverfahren oder eine Whitelist zu prüfen. Dadurch kann „im Prinzip“ jeder erreichbare Host als vollwertiger Teilnehmer ins Netzwerk geraten. Wird nun die Peer-Liste systematisch verfälscht, verlieren legitime Knoten ihren Platz; kompakt gesagt: Das Botnet „sortiert“ sich selbst aus, während die Gegenseite über die sinkhole Knoten den Kommunikationsweg kontrolliert. Für weitere Schutzwirkung sorgen zusätzliche Maßnahmen: Auch URLs, die für Sality-Payloads identifiziert wurden, wurden gekappt, sodass infizierte Maschinen keine neuen Komponenten herunterladen können.
Für Organisationen bedeutet das zweierlei, weil das Ende des Nachladens nicht automatisch das Ende der bereits installierten Schadsoftware ist. Der Bericht betont explizit, dass bestehende Malware auf kompromittierten Systemen weiter aktiv bleibt und bereinigt werden soll. Praktisch wird zudem eine konkrete Indikator-Route genannt: Alle Sality-infizierten Maschinen sollen nach der Umstellung an von CrowdStrike betriebenen Sinkholes „beaconen“, und Unternehmen wird empfohlen, Netzwerkprotokolle sowie Endpoint-Telemetrie nach UDP-Verkehr zu einer genannten „lighthouse“-IP-Adresse zu prüfen. Wer in Logs Muster findet, sollte das Ereignis als Sality-Verdacht behandeln und Incident Response mit präziser Host-Forensik koppeln, statt nur Netzfilter zu pflegen.
Über den Einzelfall hinaus ist die Nachricht auch strategisch relevant, weil sie das wiederkehrende Spannungsfeld zwischen Dezentralität und Disruption zeigt. P2P gilt im Sicherheitsdiskurs häufig als „Schutzschild“, weil klassische Gegenmaßnahmen gegen zentrale Server ins Leere laufen. Dass eine koordinierte Operation mit detailliertem Protokollverständnis dennoch wirkt, verschiebt die Planungsannahmen für beide Seiten: Angreifer müssen stärker mit verhaltensbasierten Manipulationen ihrer Wartungszyklen rechnen, Verteidiger bekommen dagegen ein konkretes Muster, wie sinkholing und Peer-Listen-Manipulation zusammenarbeiten können. Ergänzend wird die Maßnahme im Kontext der Cyber-Strategie der US-Regierung eingeordnet, die auf das „Shape Adversary Behavior“ zielt – also darauf, Werkzeug und Infrastruktur so zu degradieren, dass sich der ökonomische Nutzen für Angreifer verringert.
Auch die Verteilung der Infektionswege bleibt ein praktischer Hinweis für die Härtung: Der Bericht nennt u. a. infizierte Netzwerkfreigaben, USB-Geräte, Datei-Sharing, kompromittierte Websites, E-Mail-Anhänge und eben P2P-Netze selbst. Dass Sality zudem in einer später beschriebenen Kampagne (u. a. durch Dragos) mit Bezug auf industrielle Steuertechnik in Erscheinung trat, unterstreicht die Bandbreite: Industrial-Engineer- und Operator-Targets können in der Praxis zu einem Weg führen, um Geräte wie speicherprogrammierbare Steuerungen (PLCs) in Botnet-Strukturen zu integrieren. Damit ist klar, dass die technische P2P-Störung zwar die „Nachschub“-Logik aushebelt, die grundsätzliche Frage nach Segmentierung, Zugriffskontrolle und Software-Integrität aber weiterhin im Mittelpunkt operativer Sicherheitsprogramme stehen muss.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DOJ und Partner kappen Sality-P2P-Botnet durch Sinkholing und Peer-Listen-Manipulation" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DOJ und Partner kappen Sality-P2P-Botnet durch Sinkholing und Peer-Listen-Manipulation" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DOJ und Partner kappen Sality-P2P-Botnet durch Sinkholing und Peer-Listen-Manipulation« bei Google Deutschland suchen, bei Bing oder Google News!