UNITED STATES / LONDON (IT BOLTWISE) – Das US-Justizministerium und CrowdStrike haben das Peer-to-Peer-Botnetz Sality nach acht Jahren geknackt, das seit 2003 aktiv war. Im Fokus stand EggJagger, ein Clipjacking-Tool, das Krypto-Wallet-Adressen in der Zwischenablage ersetzt hat. Laut CrowdStrike wurden über diese Manipulation mindestens 150.000 US-Dollar erbeutet; der ungenutzte Bestand soll deutlich höher gelegen haben. Inzwischen melden sich infizierte Rechner nicht mehr beim Betreiber, sondern bei von CrowdStrike kontrollierten Sinkholes.
Der entscheidende Hebel bei Sality lag nicht in einer zentralen Kommandozentrale, sondern in der Art, wie der Schadcode seit 2003 kommunizierte. Das Botnetz arbeitete als Peer-to-Peer-Netz: infizierte Geräte stellten direkte Verbindungen untereinander her, ohne dass es einen klassischen Server gab, den man einfach beschlagnahmen oder vom Netz trennen konnte. Genau diese Dezentralität machte die Operation für die Ermittler besonders zäh – und sie erklärt, warum CrowdStrike den Rückbau als mehrstufigen Eingriff in die Bot-Struktur beschreibt, statt als einmalige Abschaltung.
Für die letzten acht Jahre identifiziert CrowdStrike einen klaren Zahlungskanal: EggJagger. Dieses Modul überwachte die Zwischenablage des Opfers nach Krypto-Wallet-Adressen und ersetzte kopierte Adressen durch solche des Betreibers. Praktisch heißt das: Wer einen Bitcoin- oder Ethereum-Empfänger in die Zwischenablage kopierte, stattete die Zahlung unbewusst einem fremden Ziel aus. CrowdStrike beziffert den Ertrag aus diesem Payload allein auf mindestens 150.000 US-Dollar; dabei handelt es sich um einen Mindestwert, der aus der operativen Datengrundlage ableitbar ist, nicht zwingend um die Obergrenze des Schadens.
Dass der Betreiber die gestohlenen Coins häufig nicht ausgab, verschiebt die Risikoperspektive noch einmal. Nach den Angaben von CrowdStrike blieb ein großer Teil der erbeuteten Bestände zunächst unberührt; im Januar 2025 habe das ungenutzte Portfolio zeitweise etwa 147 Millionen Rubel erreicht. Der Wert wird zugleich als nominal rund 1,35 Millionen US-Dollar eingeordnet – mit dem Hinweis, dass die reale Kaufkraft in westlichen Finanz- und Handelsräumen deutlich anders ausfallen kann. Diese „Nicht-Ausgabe-Strategie“ wirkt kurzfristig zwar wie Zurückhaltung, war aber für die Opfer dennoch teuer: Schon die Umleitung einzelner Transaktionen reicht, um direkte Verluste auszulösen.
Technisch setzen die Maßnahmen dort an, wo Sality selbst „Einschwingzeit“ brauchte: beim Join-Mechanismus zwischen Bots. Laut CrowdStrike akzeptierten Bots grundsätzlich jedes erreichbare Gegenstück, sofern der Handshake korrekt beantwortet wurde – mit wenig oder keiner Prüfung, wer tatsächlich beitreten darf. Genau diese Schwachstelle nutzte das Counter-Adversary-Operations-Team: Es entfernte legitime Peers aus den jeweiligen Adresslisten und ersetzte sie durch von CrowdStrike gesteuerte Sinkholes, wodurch über 15.000 Maschinen weltweit isoliert wurden. In der Folge berichten die Infizierten nicht mehr an den Betreiber, sondern an Zielsysteme, die Analyse, Detektion und langfristige Eindämmung ermöglichen.
Parallel dazu liefen Ermittlungs- und Infrastrukturmaßnahmen in mehreren Staaten. Das US-Justizministerium, das FBI und die Defense Criminal Investigative Service beschlagnahmten Sality-verknüpfte Domains in den Vereinigten Staaten; in Europa übernahmen Polizeidienststellen in Bulgarien, Ungarn und Rumänien entsprechende Schritte für weitere Infrastrukturbestandteile. Außerdem arbeitet die Shadowserver Foundation nach Angaben des Textes mit Internet-Providern daran, betroffene Nutzer zu benachrichtigen. Entscheidend ist dabei weniger die Schlagzahl als die Wirkungskette: Domain- und Infrastrukturkontrolle senkt die Angriffsoberfläche, während Sinkholes die Botnetztopologie verformen und Beobachtungs- sowie Reaktionsmöglichkeiten schaffen.
Auch nach dem „Take-down“ bleibt für Unternehmen und IT-Teams ein operativer Punkt bestehen: In manchen Fällen kann Malware auf Systemen weiterhin aktiv sein, bis sie aktiv entfernt wird. CrowdStrike verweist darauf, dass infizierte Rechner künftig über Sinkholes statt über den Betreiber kommunizieren; die Firma hat zudem Erkennungsregeln und Netzwerkindikatoren veröffentlicht. Interessant ist außerdem, dass CrowdStrike den Betreiber als SALTY SPIDER verfolgt und das Botnetz gelegentlich für eigene Ziele „anfeuerte“, etwa mit einer Denial-of-Service-Aktion gegen AvanChange im September 2023, die laut Analyse kurz vor dem Upload kompiliert wurde. Für die Verteidigung heißt das: Selbst wenn die Infrastruktur abgeschaltet wird, muss das Host-Level-Problem sauber behoben werden – sonst kann der Schaden zeitverzögert weiterlaufen.
Für die Markt- und Sicherheitslandschaft signalisiert der Fall vor allem eines: Clipjacking bleibt eine besonders praktische Angriffsform, weil sie nicht die Verschlüsselung oder Wallet-Logik angreifen muss, sondern den Nutzerfluss „an der richtigen Stelle“ kapert. In einer Zeit, in der viele Organisationen Krypto-Transaktionen und Custody-Prozesse inzwischen stärker automatisieren, zeigt Sality, dass die Zwischenablage weiterhin ein realistischer Einfallspunkt ist – gerade bei manuellen Copy-and-Paste-Schritten. Gleichzeitig erhöht die P2P-Architektur die Hürde für klassische Ermittlungsansätze; der Rückbau wirkt deshalb wie ein Lehrbeispiel dafür, wie Sinkholes und Adresslisten-Manipulation zusammen mit Domainmaßnahmen eine dezentrale Botnetzstruktur dennoch aushebeln können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sality-Botnetz seit 2003 geknackt: Clipjacking-Tool EggJagger gestoppt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sality-Botnetz seit 2003 geknackt: Clipjacking-Tool EggJagger gestoppt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sality-Botnetz seit 2003 geknackt: Clipjacking-Tool EggJagger gestoppt« bei Google Deutschland suchen, bei Bing oder Google News!