Sality galt als eines der langlebigsten Botnetze überhaupt — und die Gründe dafür lagen in seinem dezentralen Aufbau. Statt sich Befehle und Code-Updates von einem zentralen Command-and-Control-Server zu holen, organisierten sich die infizierten Rechner in einem Peer-to-Peer-Netz. Verbreitet wurde die Schadsoftware über einen Dateiinfektor, der ausführbare Dateien auf Festplatten und Wechselmedien befiel. Ein einzelner Server, dessen Abschaltung das Netz enthauptet hätte, existierte nicht.
Der Schwachpunkt steckte im Protokoll selbst. Sality-Bots prüften regelmäßig, ob die in ihrer Liste geführten Super Peers — infizierte Maschinen, die das Rückgrat des P2P-Netzes bilden — erreichbar waren. Erreichbare Knoten bauten Reputation auf, nicht erreichbare verloren sie und wurden schließlich aus der Liste entfernt. Eine Authentifizierung oder Identitätsprüfung der Gegenstellen fand dabei nicht statt: Die Bots vertrauten den Angaben im Netzwerk blind.
CrowdStrike nutzte diesen Mechanismus für einen Eingriff auf Protokollebene. Die Sicherheitsfirma entfernte die Einträge der Super Peers aus den Listen und isolierte die infizierten Rechner damit Schritt für Schritt vom Rest des Netzes. Gleichzeitig schob sie eigene Sinkholes in die Peer-Listen ein, sodass die Bots ihre Verbindungsversuche an von CrowdStrike kontrollierte Systeme richteten.
Abgestimmt auf diese Isolations- und Sinkholing-Maßnahmen gingen Strafverfolgungsbehörden in den USA, Bulgarien, Ungarn und Rumänien gegen die Verteilinfrastruktur vor und nahmen die URLs offline, über die Sality seine Schadprogramme auslieferte. Damit war ausgeschlossen, dass die infizierten Maschinen noch neue Payloads nachladen konnten.
„Der Kriminelle hinter Sality hat die Möglichkeit verloren, mit den infizierten Maschinen zu kommunizieren. Die Störungsoperation isoliert alle Knoten im Netzwerk von seiner Kontrolle. […] Alle Sality-infizierten Maschinen senden ihre Anfragen nun an von CrowdStrike betriebene Sinkholes", erklärt CrowdStrike zum Ergebnis der Aktion.
Die funktionale Bandbreite des Botnetzes war über die Jahre erheblich: Sality diente als Verteilkanal für Informationsdiebe, Proxy-Dienste, DDoS-Payloads und weitere Schadsoftware-Familien. In den letzten acht Jahren lag der Schwerpunkt auf dem Clipjacking-Werkzeug EggJagger, das nach den vorliegenden Erkenntnissen mindestens 150.000 US-Dollar in Bitcoin und Ethereum entwendet hat.
Mit der Abschaltung ist die Aufräumarbeit nicht beendet. Die Shadowserver Foundation arbeitet nach Angaben zur Operation mit Internetanbietern und CSIRTs zusammen, um die Opfer des Botnetzes zu identifizieren und die Infektionen auf den betroffenen Systemen zu beseitigen.