Berucht Sality-botnet na jarenlange jacht ontmanteld door internationale coalitie

Dit is de gecontroleerde stand van zaken op het moment van publicatie.

Een internationale samenwerking tussen wetshandhavers en cybersecurityspecialisten heeft een einde gemaakt aan het Sality-botnet. Dit netwerk, dat sinds 2003 actief was en in totaal meer dan 11 miljoen unieke IP-adressen wist te besmetten, is ontmanteld dankzij een gerichte operatie van het Amerikaanse ministerie van Justitie, de FBI, Europol en het cybersecuritybedrijf CrowdStrike. Bij de ingreep werden in vier landen meer dan 15.000 geïnfecteerde machines geïsoleerd.

Decentrale structuur en veerkracht

Het botnet stond bekend om zijn extreme weerbaarheid tegen uitschakeling. Dit kwam doordat Sality gebruikmaakte van een decentrale peer-to-peerstructuur zonder centrale server. Hierdoor communiceerden individuele besmette computers rechtstreeks met elkaar, waardoor het netwerk tientallen jaren lang operationeel wist te blijven. Om deze hardnekkige infrastructuur te doorbreken, slaagde CrowdStrike erin de P2P-protocollen te kraken. Door gerichte en onjuiste informatie te verspreiden, verbraken de geïnfecteerde apparaten de verbinding met hun beheerders, waarna ze in een zogeheten sinkhole werden opgevangen.

Gerichte cryptodiefstal via EggJagger

Tijdens de afgelopen acht jaar werd het botnet intensief ingezet voor financiële misdaad door de verspreiding van de malware 'EggJagger'. Deze specifieke clipjacking-malware scande continu het klembord van besmette gebruikers op zoek naar crypto-adressen, met name voor bitcoin en ethereum. Zodra zo'n adres werd gedetecteerd, verving de software dit ongemerkt door het adres van de cybercriminelen, waardoor transacties direct naar de portemonnees van de aanvallers werden doorgesluisd.

Achtergrond van de beheerders

Beveiligingsonderzoekers identificeren de vermoedelijke brekers achter het netwerk als 'Salty Spider'. Naar verluidt opereren zij vanuit de Russische republiek Basjkiortostan. Met de recente uitschakeling van de infrastructuur en het isoleren van de tienduizenden actieve machines is er een definitief einde gekomen aan de jarenlange operatie van dit grootschalige malwarenetwerk.