senn-techSality: Ein Botnetz aus dem Jahr 2003 wurde nach 23 Jahren abgeschaltet, indem man einfach mitgespielt hat
Sality wurde 2003 zum ersten Mal beobachtet, als Windows XP zwei Jahre alt war. Am 31. August 2026 wurde es abgeschaltet. Dazwischen liegen 23 Jahre, über 11 Millionen eindeutige IP-Adressen, zeitweise bis zu eine Million Maschinen und ein Betreiber, der bis heute nicht verhaftet ist. Die Aktion, koordiniert von US-Behörden mit Europol, Eurojust, CrowdStrike, der Shadowserver Foundation und Polizeibehörden in Bulgarien, Ungarn und Rumänien, hat keinen einzigen Server beschlagnahmt. Sie hat das Botnetz über sein eigenes Protokoll ausgehebelt.
Was Sality ist
Ein Dateiinfektor. Sality hängt sich an ausführbare Dateien und verbreitet sich über Netzwerkfreigaben, Wechseldatenträger und Filesharing, ohne Phishing, ohne Exploit-Kit, ohne dass der Betreiber etwas tun müsste. Es hat nie einen zentralen Kommandoserver gehabt. Jeder infizierte Rechner führt eine Liste sogenannter Super Peers, öffentlich erreichbarer Bots, über die signierte Anweisungen und Nutzlasten verteilt werden. Laut CrowdStrike liefen bis zuletzt zwei zueinander inkompatible Netze parallel, Version 3 und Version 4, gleiche Codebasis, verschiedene Schlüssel, derselbe Betreiber.
Die Hauptnutzlast der letzten acht Jahre war ein Programm namens EggJagger: Es überwacht die Zwischenablage auf Bitcoin- und Ethereum-Adressen und tauscht sie beim Einfügen gegen Adressen des Betreibers. CrowdStrike schätzt die Beute auf mindestens 12,1 Millionen Rubel, rund 150.000 US-Dollar, das nie ausgegebene Portfolio erreichte im Januar 2025 einen Wert von etwa 147 Millionen Rubel. Dazu kamen drei dokumentierte DDoS-Kampagnen, eine davon am 25. Februar 2022 gegen ein Forum in Charkiw, einen Tag nach dem russischen Angriff auf die Stadt. Der Akteur, bei CrowdStrike als SALTY SPIDER geführt, sitzt laut BleepingComputer vermutlich in der russischen Republik Baschkortostan.
Der Fehler, der 20 Jahre lang nicht reparierbar war
Alle 40 Minuten prüft ein Bot, ob seine gespeicherten Peers noch antworten. Wer antwortet, gewinnt Ansehen in der Liste, wer nicht antwortet, verliert es und fliegt irgendwann raus. So weit gewöhnliches Peer-to-Peer. Der Konstruktionsfehler: Ein Bot vertraut jedem, der das Protokoll spricht. Keine Authentifizierung, keine kryptografische Identität der Peers, keine Allowlist. Wer öffentlich erreichbar ist und den Handshake richtig beantwortet, ist ein vollwertiger Super Peer, von einer echten Infektion nicht zu unterscheiden.
Und dieser Fehler ließ sich nicht beheben. Ein Dateiinfektor kann sich nicht selbst aktualisieren, ohne gegen den eigenen alten Stamm um dieselben Wirtsdateien zu konkurrieren. Eine neue Protokollversion hätte das Netz gespalten statt es abgesichert. CrowdStrike formuliert es so: Das Protokollverhalten der Bots ist heute dasselbe wie vor 20 Jahren, und jede Schwäche darin ist dauerhaft.
Der Angriff nutzt genau diesen Wartungszyklus. Zuerst wurden die legitimen Super Peers auf Protokollebene während der Verifikation entwertet, sodass sie aus den Listen flogen. In die geleerten Listen rückten Sinkhole-Einträge der Verteidiger nach. Die Mehrheit der Infektionen sitzt hinter NAT oder Firewall und ist nicht direkt erreichbar; die wurden passiv erledigt. Sobald so ein Bot im normalen Zyklus ein Sinkhole kontaktierte, wurde seine Peer-Liste geleert, und er blieb dauerhaft allein. Aus Sicht des Betreibers verschwanden Maschinen einfach. Parallel nahmen die Behörden die URLs vom Netz, auf denen die aktuellen Nutzlasten lagen, damit Bots mit einem noch gültigen Download-Paket nichts mehr nachladen konnten.
Neu ist die Technik nicht. CrowdStrike hat dieselbe Klasse von Peer-Listen-Manipulation 2014 gegen GameOver Zeus und 2017 gegen Kelihos eingesetzt. Ihr Forscher Tillmann Werner nennt Sality laut The Record trotzdem die komplexeste Botnetz-Übernahme, die das Unternehmen je durchgeführt hat.
Wie groß war es am Ende?
Hier widersprechen sich die Quellen. CrowdStrike schreibt im eigenen Blog von über 33.000 infizierten Maschinen weltweit. The Register, The Record, BleepingComputer und Help Net Security nennen übereinstimmend mehr als 15.000. Keine Quelle erklärt die Differenz. Plausibel ist, dass 33.000 beide Netzversionen kumuliert zählt und 15.000 die zum Stichtag gleichzeitig verbundenen Systeme, belegt ist das nicht. Für einen Sysadmin ist beides dieselbe Aussage: Das Botnetz war bei der Abschaltung klein, alt und trotzdem da.
Was man daraus mitnimmt
Zuerst die eine Zeile, die den Beitrag rechtfertigt: UDP-Verkehr zur Adresse 188.166.101.148, laut CrowdStrike die Lighthouse-IP des Netzes, bedeutet eine aktive Infektion. Das ist eine Suche im Firewall-Log oder eine Regel im SIEM, keine Wahrscheinlichkeitsaussage. Dazu liefert CrowdStrike zwei YARA-Regeln, die im Speicher nach den fest eingebauten RSA-Schlüsseln suchen.
Zweitens: Die Abschaltung entfernt nichts. Der Kommandokanal ist tot, die Malware auf den Rechnern läuft weiter, und CrowdStrike schreibt das ausdrücklich. Sality hat jede erreichbare ausführbare Datei angefasst. Ein Fund heißt Host neu aufsetzen.
Drittens die Frage, die ein Botnetz aus dem Jahr 2003 einem Netz im Jahr 2026 stellt. Betroffen sind keine gepflegten Server mit EDR, sondern das, was seit Jahren mitläuft: die Maschine an der Produktionsanlage, das alte Kassensystem, das Notebook mit USB-Stick-Verkehr, die Windows-Insel ohne Agent. Die Frage lautet also nicht „habe ich Sality", sondern „welche Hosts in meinem Netz hätten es überhaupt bemerkt". Shadowserver benachrichtigt über ISPs und nationale CSIRTs, in Österreich über CERT.at; wer als Netzbetreiber die kostenlosen Shadowserver-Berichte noch nicht bezieht, hat jetzt einen konkreten Anlass. Und wer eine USB-Richtlinie seit Jahren vor sich herschiebt, hat ein anschauliches Argument.
Weiterführende Quellen
Ist mein Netz von Sality betroffen?+
Prüfbar mit einer Firewall-Suche: UDP-Verkehr zur IP-Adresse 188.166.101.148 bedeutet nach Angaben von CrowdStrike eine aktive Infektion. Typische Fundorte sind alte Windows-Maschinen an Produktionsanlagen, Kassensystemen oder mit USB-Stick-Verkehr, nicht gepflegte Server.
Reicht es, dass das Botnetz abgeschaltet ist?+
Nein. Die Abschaltung hat den Kommandokanal gekappt, die Malware auf infizierten Rechnern läuft weiter. Sality ist ein polymorpher Dateiinfektor, der jede erreichbare ausführbare Datei angefasst hat. Ein Fund heißt neu aufsetzen, nicht nur säubern.
Warum konnte der Betreiber die Schwachstelle im Protokoll nicht beheben?+
Sality verbreitet sich, indem es sich an ausführbare Dateien hängt. Eine neue Protokollversion müsste gegen den eigenen alten Stamm um dieselben Wirtsdateien konkurrieren; das Netz würde sich spalten statt aktualisieren. Jede Schwäche im Protokoll von 2003 war damit dauerhaft.