Sality: Nach 23 Jahren wurde das für Kryptowährungsdiebstahl eingesetzte P2P-Botnetz unterbrochen

Internationale Operation isoliert das kriminelle Netzwerk

Eine internationale Operation hat die Infrastruktur von Sality unterbrochen, einem Peer-to-Peer-Botnetz, das erstmals 2003 beobachtet wurde und 23 Jahre lang aktiv blieb. Im Laufe der Zeit verbreitete das Netzwerk Information-Stealer, Proxy-Dienste, Werkzeuge für DDoS-Angriffe und weitere Schadkomponenten.

An der Kampagne waren CrowdStrike, die Strafverfolgungsbehörden der USA, Bulgariens, Ungarns und Rumäniens sowie die Shadowserver Foundation beteiligt. Letztere arbeitet mit Internetdienstanbietern und CSIRTs zusammen, um weiterhin kompromittierte Systeme zu identifizieren und die Bereinigung zu koordinieren.

Der Eingriff umfasste zwei Maßnahmen. CrowdStrike manipulierte das P2P-Protokoll, um die Bots von den durch den Betreiber kontrollierten Knoten zu trennen. Gleichzeitig entfernten oder deaktivierten die Behörden die URLs, über die das Netzwerk seine Payloads verteilte.

Nach Angaben von CrowdStrike ist der Betreiber von Sality nun nicht mehr in der Lage, mit den infizierten Rechnern zu kommunizieren. Noch kompromittierte Systeme sollen ihren regelmäßigen Datenverkehr inzwischen an von dem Unternehmen kontrollierte Sinkholes senden.

Das Botnetz wurde damit auf operativer Ebene neutralisiert, aber nicht automatisch von den Endpunkten entfernt. Die Malware kann auf den Geräten weiterhin vorhanden sein.

Warum Sality so lange überdauern konnte

Die Langlebigkeit von Sality beruhte vor allem auf seiner verteilten Architektur. Statt sich auf einen einzelnen Command-and-Control-Server zu stützen, nutzte das Botnetz ein P2P-Netzwerk, über das die Knoten Updates, Befehle und neuen Code empfingen.

Das Fehlen einer zentralen Infrastruktur erschwerte eine herkömmliche Beschlagnahmung erheblich. Die Deaktivierung eines einzelnen Servers hätte nicht ausgereicht: Die infizierten Geräte hätten weiterhin über andere Peers kommunizieren können.

Das Rückgrat des Netzwerks bildeten kompromittierte Rechner mit der Rolle eines Super-Peers. Jeder Bot führte eine Liste dieser Knoten und überprüfte regelmäßig deren Erreichbarkeit.

Das Protokoll verwendete ein operatives Reputationssystem. Ein Super-Peer, der weiterhin antwortete, gewann an Vertrauenswürdigkeit. Ein nicht erreichbarer Knoten verlor dagegen schrittweise an Reputation, bis er aus der Liste entfernt wurde. Auf diese Weise konnte Sality seine Topologie selbstständig aktualisieren und funktionierende Kommunikationswege aufrechterhalten.

Auch die Verbreitungsmechanismen trugen zur Persistenz bei. Sality agierte als File Infector und fügte seinen Code in ausführbare Dateien ein, die auf Festplatten und Wechseldatenträgern gespeichert waren. Eine manipulierte Datei konnte dadurch auf einen anderen Computer übertragen werden und die Infektion über das ursprüngliche System hinaus ausweiten.

Diese Eigenschaft erschwert auch die Bereinigung. Es reicht nicht aus, den Schadprozess zu beenden oder eine einzelne Datei zu löschen. Die veränderten ausführbaren Dateien müssen identifiziert und Datenträger überprüft werden, über die die Malware weiterverbreitet worden sein könnte.

Die im P2P-Protokoll verborgene Schwachstelle

Dieselbe Architektur, die Sality mehr als zwei Jahrzehnte lang geschützt hatte, enthielt eine strukturelle Schwachstelle. Das Protokoll vertraute den Peers, ohne Authentifizierungsmechanismen oder zuverlässige Prüfungen ihrer Identität einzusetzen.

CrowdStrike nutzte dieses Vertrauen, um direkt in die von den Bots verwendeten Listen einzugreifen. Im Zuge der Operation wurden die Verweise auf die Super-Peers der kriminellen Infrastruktur schrittweise entfernt und durch Knoten für das Sinkholing ersetzt.

Ein Sinkhole ist ein von den Verteidigern kontrolliertes System, das Datenverkehr empfängt, der zuvor an die schädliche Infrastruktur gerichtet war. Es bereinigt den Computer nicht, verhindert oder begrenzt jedoch den Kontakt zum Betreiber und ermöglicht die Beobachtung der verbleibenden Kommunikation.

Im Fall von Sality isolierte die Manipulation der Listen die kompromittierten Rechner schrittweise. Sobald die Bots ihre Sicht auf das Netzwerk aktualisiert hatten, traten die von den Verteidigern kontrollierten Knoten an die Stelle der vom Betreiber verwendeten Super-Peers.

Der Eingriff in die URLs vervollständigte die Maßnahme. Durch die Entfernung der Ressourcen, von denen Sality seine Payloads herunterlud, verhinderten die Behörden, dass bereits infizierte Geräte über diese Kanäle neue Komponenten empfingen.

Dabei handelt es sich nicht um eine öffentlich klassifizierte Softwareschwachstelle. Es wurde keine CVE-Kennung genannt, und es sind keine bestimmten Produkte oder Versionen betroffen, die durch einen Patch aktualisiert werden müssten. Die für die Unterbrechung ausgenutzte Schwäche betraf das Vertrauensmodell des P2P-Protokolls des Botnetzes.

EggJagger und der Diebstahl über die Zwischenablage

In den vergangenen acht Jahren soll Sality vor allem zur Verbreitung von EggJagger eingesetzt worden sein, einem mit dem Diebstahl von Kryptowährungen verbundenen Clipjacking-Tool.

Diese Technik zielt auf Inhalte ab, die in die Zwischenablage des Betriebssystems kopiert werden. Bei einer Transaktion kann ein Nutzer die Wallet-Adresse des Empfängers kopieren, um sie anschließend in die für die Überweisung verwendete Anwendung oder Website einzufügen.

Die Malware fängt diesen Wert ab und ersetzt ihn durch eine vom Angreifer kontrollierte Adresse. Vergleicht das Opfer die eingefügte Zeichenfolge nicht sorgfältig mit dem ursprünglichen Wert, wird die Transaktion an die falsche Wallet autorisiert.

Sobald die Überweisung auf der Blockchain bestätigt wurde, kann die Rückholung der Gelder äußerst schwierig sein. EggJagger soll mindestens 150.000 US-Dollar in Bitcoin und Ethereum gestohlen haben. Dabei handelt es sich um eine Mindestsumme, die möglicherweise nicht alle im Rahmen der Kampagne erzielten Einnahmen umfasst.

Die Auswirkungen von Sality beschränken sich jedoch nicht auf Kryptowährungen. Das Botnetz unterstützte die Ausspähung von Informationen, die Verbreitung missbräuchlich genutzter Proxy-Dienste und DDoS-Angriffe. Dadurch stand dem Betreiber eine anpassungsfähige Plattform für unterschiedliche kriminelle Zwecke zur Verfügung.

Eine Unterbrechung bedeutet nicht die Entfernung der Malware

Die Isolierung des Netzwerks schränkt die Fähigkeit des Betreibers ein, Befehle zu erteilen und neue Payloads zu verteilen. Sie entfernt Sality jedoch nicht von bereits kompromittierten Computern und stellt auch die von dem File Infector veränderten ausführbaren Dateien nicht wieder her.

Organisationen sollten daher potenziell betroffene Endpunkte überprüfen und dabei besonders auf ältere Systeme, zwischen Geräten übertragene ausführbare Dateien und Wechseldatenträger achten, die auf mehreren Rechnern verwendet wurden. Diese können infizierte Kopien enthalten und die Malware nach einer unvollständigen Bereinigung erneut einschleusen.

Darüber hinaus sollten mögliche Auffälligkeiten in Anwendungen für Kryptowährungen überprüft werden. Wallet-Adressen müssen vor der Autorisierung jeder Transaktion abgeglichen werden, insbesondere wenn sie per Copy-and-paste eingefügt wurden.

Es wurden keine Dateinamen, Hashes, Domains, IP-Adressen oder anderen Zeichenfolgen veröffentlicht, die sich direkt als Indicators of Compromise verwenden lassen. Auch sind keine operativen Signaturen oder universell einsetzbaren Verfahren zur Entfernung der Infektion bekannt.

Sobald die Daten aus den Sinkholes den Verteidigern zur Verfügung stehen, kann der zu diesen Systemen gerichtete Datenverkehr dabei helfen, weiterhin aktive Endpunkte zu identifizieren. Die Kommunikation mit einem Sinkhole ist ein mögliches Anzeichen für eine verbleibende Infektion, stellt jedoch keinen Beweis dafür dar, dass der Rechner bereits bereinigt wurde.

Die Bereinigung erfordert die Zusammenarbeit von ISPs, CSIRTs und Sicherheitsanbietern

Die Shadowserver Foundation arbeitet mit ISPs und CSIRTs zusammen, um beobachtete Verbindungen den betroffenen Systemen zuzuordnen und Nutzer sowie Organisationen zu benachrichtigen. Wer eine solche Meldung erhält, sollte sie als konkreten Hinweis auf eine Kompromittierung behandeln und eine Analyse des Endpunkts einleiten.

Da keine öffentlich verfügbaren Tools oder Signaturen zur Entfernung bereitgestellt wurden, sollte die Bereinigung mit dem eigenen Provider, dem zuständigen CSIRT oder einem Sicherheitsdienstleister koordiniert werden. Die Analyse sollte ausführbare Dateien, Wechseldatenträger und andere Geräte umfassen, mit denen die infizierte Maschine Dateien ausgetauscht hat.

Es kann erforderlich sein, veränderte Dateien durch intakte Kopien zu ersetzen oder das System vollständig wiederherzustellen. Die geeignete Maßnahme hängt vom Ausmaß der Infektion ab, das sich bei einem File Infector möglicherweise nur schwer zuverlässig eingrenzen lässt.

Die Operation hat dem Betreiber von Sality die Kontrolle über das Netzwerk entzogen und die bekannten Kanäle zur Verteilung der Payloads blockiert. Die nächste Phase ist weniger sichtbar, aber entscheidend: Die weiterhin infizierten Rechner müssen gefunden und der Code entfernt werden, der nach 23 Jahren der Verbreitung noch aktiv ist.