Der technische Kern der Aktion lag in den sogenannten Super-Peer-Listen. Jede infizierte Maschine führt eine Liste öffentlich erreichbarer Systeme, die Informationen zwischen den Bots weitergeben. Da es keinen einzelnen Server gab, von dem oder zu dem der Verkehr hätte umgeleitet werden können, war Sality gegen herkömmliches Sinkholing widerstandsfähig. CrowdStrike griff daher diese Listen an und schleuste falsche Informationen ein. In der Folge verloren die infizierten Rechner den Kontakt zu den übrigen Mitgliedern des Botnetzes und schließlich zu dessen Betreiber. Die isolierten Systeme können keine Befehle mehr empfangen und keine neue Schadsoftware nachladen.
Parallel gingen die Behörden gegen Infrastruktur außerhalb des Peer-to-Peer-Netzes vor. In den USA wurden Sality zugeordnete Domains beschlagnahmt, Behörden in Bulgarien, Ungarn und Rumänien zogen weitere Domains in Europa ein, über die infizierte Systeme andernfalls neue Schadcode-Pakete hätten beziehen können.
Sality begann 2003 als Virus, das ausführbare Dateien infizierte und sich verbreitete, wenn kompromittierte Dateien zwischen Rechnern kopiert wurden. Später entwickelte sich daraus ein Peer-to-Peer-Botnet, über das Schadsoftware für Zugangsdatendiebstahl, Spam, Proxy-Dienste, Netzwerkausnutzung und Denial-of-Service-Angriffe verteilt wurde.
In den vergangenen rund acht Jahren verbreitete Sality nach Darstellung von CrowdStrike vor allem EggJagger. Diese Schadsoftware überwacht die Zwischenablage eines Rechners auf Adressen von Kryptowährungs-Wallets. Wird eine erkannt, kann EggJagger die kopierte Adresse durch eine vom Angreifer kontrollierte ersetzen — bemerkt das Opfer die Vertauschung nicht vor Abschluss der Transaktion, geht die Zahlung an die Kriminellen.
CrowdStrike schätzt die auf diesem Weg entwendete Summe auf mindestens 150.000 US-Dollar in Kryptowährungen. Das habe ausgereicht, um einen einzelnen Kriminellen mit geringen Betriebskosten zu tragen; andere Schadcode-Pakete als EggJagger könnten jedoch zusätzliche Einnahmequellen geliefert haben.
Shadowserver arbeitet nun mit Internetanbietern und nationalen Computer-Notfallteams zusammen, um die mehr als 15.000 zum Zeitpunkt der Störaktion noch verbundenen infizierten Systeme zu identifizieren und deren Besitzer zu benachrichtigen. David Watson, Direktor bei Shadowserver, bezeichnete Sality gegenüber Reuters als “ziemlich altmodisch”, verwies aber darauf, dass das Botnet gefährlich bleibe, weil kompromittierte Maschinen Angreifern weiterhin einen Zugangspunkt in Organisationen bieten könnten.
US-Vertreter stellten die Maßnahme als Beispiel für die Zusammenarbeit von Strafverfolgung und Sicherheitsbranche dar und verknüpften sie mit der Cyberstrategie der Trump-Administration, deren erste Säule vorsieht, dass die USA das Verhalten von Gegnern beeinflussen.
Der Betreiber von Sality ist weiterhin öffentlich unbekannt und auf freiem Fuß. Ob die Störaktion einen Wiederaufbau des Botnetzes oder den Aufbau von Ersatzinfrastruktur verhindert, ist offen.