Zu den wichtigsten über Sality ausgelieferten Nutzlasten zählt EggJagger, ein sogenannter Clipper. Das Werkzeug überwacht laufend die Zwischenablage eines Geräts auf Kryptowährungs-Wallet-Adressen und ersetzt sie unbemerkt durch Adressen der Angreifer, um Transaktionen umzuleiten. Schätzungen zufolge haben die Täter auf diesem Weg mindestens 150.000 US-Dollar erbeutet.
Obwohl das Botnet vor allem finanziell motiviert betrieben wurde, diente es laut CrowdStrike auch für drei bemerkenswerte DDoS-Kampagnen — ein Hinweis darauf, dass der Akteur bereit war, die Infrastruktur für persönliche oder politische Zwecke umzuwidmen. Verbreitet wurde die Malware über infizierte Netzwerkfreigaben, USB-Geräte, Filesharing, kompromittierte Websites, E-Mail-Anhänge und P2P-Netze. So entstand ein sich selbst verbreitendes Botnet, das ohne Zutun des Betreibers immer neue Infektionen erzeugte. Bereits im Juli 2022 hatte das OT-Sicherheitsunternehmen Dragos eine Kampagne offengelegt, die Ingenieure und Anlagenbediener ins Visier nahm, um speicherprogrammierbare Steuerungen (SPS) zu übernehmen und in das Sality-Botnet einzugliedern.
Die beiden parallel betriebenen Netze teilten sich laut der Abteilung Counter Adversary Operations von CrowdStrike dieselbe Codebasis und denselben Betreiber, nutzten aber inkompatible Protokollversionen und unterschiedliche kryptografische Schlüssel. Genau die P2P-Architektur, die Sality gegen klassische C2-Abschaltungen immunisierte, wurde nun zum Einfallstor: „Dieselben Eigenschaften, die Sality widerstandsfähig machten, schufen auch die Voraussetzungen für seinen Untergang", erklärte CrowdStrike. Das P2P-Protokoll lasse sich nicht nachbessern — anders als bei Schadsoftware, die Code-Updates von einem C2-Server erhält, sei der Verbreitungsmechanismus ein Dateiinfektor, der sich an ausführbare Dateien auf der Festplatte anhängt.
Die Gegenmaßnahme setzte auf Peer-List-Manipulation, ein Verfahren, das bereits 2014 gegen GameOver Zeus und 2017 gegen Kelihos eingesetzt wurde. Sality-Bots vertrauten dem P2P-Netz blind: Wer öffentlich erreichbar war und den Handshake korrekt beantwortete, wurde als legitimer Peer akzeptiert. Ohne Authentifizierung, kryptografische Identität oder Positivliste konnte praktisch jeder als vollwertiger Teilnehmer beitreten, ohne von einem tatsächlich infizierten Host unterscheidbar zu sein.
Ausgenutzt wurde der Wartungszyklus des Netzes: Alle 40 Minuten prüfen die Bots, ob die gespeicherten Peers noch erreichbar sind. Antwortende Peers sammeln Reputation, ausfallende verlieren sie und werden schließlich entfernt. Über Manipulation auf Protokollebene wurden legitime Peers aus den Listen gedrängt und eigens präparierte Sinkhole-Einträge eingeschleust. „Die Störaktion zielt zuerst auf die Super-Peers, denn sie bilden das Rückgrat der Netzkommunikation", so CrowdStrike. Nach deren Isolierung stoppte die Weitergabe von URL- und Datei-Paketen. Der Großteil der Infektionen sitzt hinter Firewalls oder NAT und ist nicht direkt ansprechbar; diese Systeme werden passiv abgefangen — melden sie sich im Wartungszyklus bei den Sinkhole-Knoten, wird ihre Peer-Liste geleert, was sie dauerhaft isoliert.
Zusätzlich wurden die URLs abgeschaltet, über die Sality-Nutzlasten ausgeliefert wurden. Alle infizierten Maschinen melden sich nun an von CrowdStrike betriebene Sinkholes. Organisationen sollten Netzwerkprotokolle und Endpunkt-Telemetrie auf UDP-Verkehr zur „Lighthouse"-IP-Adresse 188.166.101[.]148 prüfen; ein Treffer weist auf eine Sality-Infektion hin, die bereinigt werden muss. CrowdStrike weist darauf hin, dass die Störaktion zwar neue Nutzlasten verhindert, bereits installierte Schadsoftware auf den Systemen aber weiter aktiv ist und entfernt werden muss.
Die Aktion ist Teil einer Säule der Cyber-Strategie von Präsident Donald Trump mit dem Titel „Gegnerisches Verhalten formen", die auf das Aufspüren und Stören bösartiger Netze zielt. Patrick Grandy, Leiter des FBI-Außenbüros in Los Angeles, erklärte, die Zusammenarbeit internationaler Strafverfolger mit Partnern aus der Privatwirtschaft stärke die Fähigkeiten des FBI; man werde weiter daran arbeiten, cybergestützte Angriffe und Diebstähle zulasten von Opfern in den USA zu verhindern.