Eine von den USA geleitete internationale Operation hat am 31. August 2026 die Infrastruktur des Sality-Botnetzes nachhaltig gestört. Mittels P2P-Sinkholing gelang es Ermittlern, den Steuerungskanal des seit mehr als zwei Jahrzehnten aktiven Netzwerks lahmzulegen, das zwischenzeitlich Zugriff auf bis zu eine Million infizierte Systeme weltweit bot. Europol bestätigte die Maßnahme am 2. September und spricht von über elf Millionen eindeutigen IP-Adressen, die mit der Botnetz-Infrastruktur verknüpft waren.
P2P-Sinkholing: Methode und Wirkungsweise
Anders als herkömmliche Botnetze mit einem zentralen Command-and-Control-Server kommunizieren Peer-to-Peer-Botnetze wie Sality direkt über die infizierten Geräte. Diese dezentrale Architektur erschwert die Zerschlagung erheblich, da das Abschalten einzelner Server nicht automatisch das gesamte Netzwerk stilllegt. Die Ermittler setzten daher auf ein P2P-Sinkholing: Dabei wurden Kommunikationsversuche infizierter Rechner von der kriminellen Infrastruktur zu einer kontrollierten Infrastruktur umgeleitet. Auf diese Weise isolierte man kompromittierte Systeme vom Botnetz und machte den Steuerungskanal der Betreiber funktionsunfähig.
Technische Herausforderungen dezentraler Botnetze
Die P2P-Architektur von Sality machte das Botnetz besonders widerstandsfähig gegen klassische Takedown-Methoden. Da keine zentralen Server existieren, verteilt sich die Steuerung auf tausende infizierte Geräte. Das Sinkholing muss daher auf der Protokollebene ansetzen und die Vertrauensbeziehungen zwischen den Peers unterbrechen. Die Shadowserver Foundation und Crowdstrike lieferten die hierfür nötige technische Expertise und Infrastrukturanalysen, um die Umleitung zu realisieren.
Ermittlungen und internationale Kooperation seit 2017
Europol unterstützt die Fahndung nach den Betreibern des Sality-Botnetzes bereits seit 2017. In den Wochen vor der aktuellen Aktion koordinierten die beteiligten Behörden ihre Maßnahmen in wöchentlichen operativen Besprechungen. Das European Cybercrime Centre (EC3) von Europol übernahm den Austausch und die Auswertung von Cyber-Threat-Intelligence. Die Joint Cybercrime Action Taskforce organisierte operative Treffen der internationalen Partner.
Beteiligte Partner und Rollen
- Strafverfolgungsbehörden aus Bulgarien (Generaldirektion zur Bekämpfung der organisierten Kriminalität), Ungarn (Cybercrime-Abteilung des National Bureau of Investigation), Rumänien (Polizei) und den USA (Department of Justice, FBI, Defense Criminal Investigative Service) wirkten aktiv mit.
- Europol und Eurojust stellten die rechtliche und operative Koordination sicher.
- Crowdstrike und die Shadowserver Foundation unterstützten die Behörden mit technischer Expertise und Infrastrukturanalysen.
- Die europäische EMPACT-Plattform trug zur länderübergreifenden Zusammenarbeit bei.
Europol gab keine Details zu Festnahmen oder zu den mutmaßlichen Betreibern des Botnetzes bekannt.
Auswirkungen und nächste Schritte
Die Störung des Steuerungskanals bedeutet nicht die endgültige Zerschlagung von Sality. Ein P2P-Botnetz kann theoretisch reaktiviert werden, sofern die Betreiber alternative Kommunikationswege aufbauen oder neue Peers infizieren. Allerdings haben die Ermittler durch das Sinkholing einen erheblichen Teil der aktuellen Infrastruktur unbrauchbar gemacht. Die gesammelten Informationen über infizierte Systeme ermöglichen es zudem, betroffene Geräte zu identifizieren und von dort aus weitere Gegenmaßnahmen einzuleiten. Für Unternehmen und Privatanwender bleibt die regelmäßige Aktualisierung von Sicherheitssoftware und die Überwachung ungewöhnlicher Netzwerkaktivitäten die wirksamste Prävention gegen Botnetz-Infektionen. Die internationale Kooperation zeigt, dass selbst langlebige und dezentrale Bedrohungen durch koordinierte öffentlich-private Partnerschaften wirksam bekämpft werden können.
