Politie haalt 23 jaar oude Sality-botnet offline na internationale operatie

Een internationale samenwerking tussen politiediensten en securitybedrijven heeft het beruchte Sality-botnet ontmanteld. De malware was sinds 2003 actief en groeide in de loop der jaren uit tot een van de omvangrijkste en hardnekkigste botnets die ooit zijn waargenomen. Op het hoogtepunt bestond het netwerk uit ongeveer een miljoen besmette apparaten.

Volgens de betrokken autoriteiten en onderzoekers werden gedurende de 23 jaar dat Sality actief was meer dan elf miljoen unieke IP-adressen met de infrastructuur in verband gebracht. Dat betekent niet dat al die adressen tegelijkertijd besmet waren, maar laat wel zien hoe groot en veranderlijk het netwerk was.

Bij de operatie waren onder meer Europol, de FBI, Eurojust en opsporingsdiensten uit Bulgarije, Hongarije en Roemenië betrokken. Ook verschillende securitybedrijven leverden technische ondersteuning. Een van de betrokken partijen was CrowdStrike, dat onderzoek deed naar de werking van het botnet en de zwakke plekken in de communicatie tussen besmette systemen.

De ontmanteling richtte zich niet alleen op de servers en domeinen die Sality gebruikte om malware te verspreiden. Onderzoekers maakten ook gebruik van een fundamentele zwakte in het P2P-protocol van het botnet. Door de manier waarop besmette machines hun onderlinge vertrouwen regelden te misbruiken, konden zij de infrastructuur van binnenuit verzwakken.

Van bestandsvirus tot omvangrijk botnet

Sality begon in 2003 als een zogenoemde file infector: malware die uitvoerbare bestanden besmet. In plaats van uitsluitend zichzelf op een systeem te installeren, voegt een dergelijke malware zich in bestaande programma's. Wanneer een besmet bestand vervolgens op een andere computer wordt geopend, kan ook die machine geïnfecteerd raken.

Dat maakte Sality bijzonder geschikt om zich verder te verspreiden. Besmette bestanden konden bijvoorbeeld terechtkomen op lokale schijven, gedeelde netwerkmappen of usb-sticks. Een gebruiker die vervolgens een dergelijk bestand op een schoon systeem uitvoerde, kon daarmee onbedoeld de malware opnieuw activeren.

In de jaren daarna ontwikkelde Sality zich tot een veel complexer platform. De malware kreeg mogelijkheden om aanvullende kwaadaardige software te downloaden en besmette apparaten onderdeel te maken van een groter netwerk. Daarmee veranderde het van een relatief klassiek bestandsvirus in een veelzijdig botnet.

De besmette systemen konden onder meer worden ingezet voor het stelen van wachtwoorden, het registreren van toetsaanslagen en het uitvoeren van andere vormen van surveillance. Ook konden aanvallers extra malware verspreiden, wifi-routers proberen over te nemen of besmette computers gebruiken als proxyserver.

Daarnaast werd Sality in verband gebracht met spamdistributie, DDoS-aanvallen, clickfraude en cryptodiefstal. In sommige gevallen werd zogenoemde clipper-malware ingezet, die bijvoorbeeld gekopieerde cryptocurrency-adressen kon vervangen door adressen van de aanvaller.

Volgens CrowdStrike leverde de inzet van het botnet de beheerders aanzienlijke inkomsten op. Alleen al met cryptovaluta zou omgerekend bijna 150.000 euro zijn verdiend. Dat bedrag is slechts een deel van de mogelijke opbrengsten uit de verschillende criminele activiteiten die via Sality werden gefaciliteerd.

Waarom Sality zo lang kon overleven

Een belangrijke reden voor de lange levensduur van Sality was de decentrale opzet. Veel traditionele botnets zijn afhankelijk van een centrale command-and-controlserver. Als die server wordt uitgeschakeld, verliezen besmette apparaten vaak hun mogelijkheid om nieuwe instructies te ontvangen.

Sality werkte anders. De besmette machines communiceerden rechtstreeks met elkaar via een peer-to-peerprotocol. Daardoor was er geen enkel centraal punt dat de volledige infrastructuur aanstuurde. Zelfs wanneer bepaalde servers of domeinen werden uitgeschakeld, kon het netwerk in veel gevallen blijven functioneren.

In de loop der jaren werd Sality steeds geavanceerder. Het botnet beschikte over polymorfe eigenschappen, waardoor de malware zichzelf kon aanpassen om detectie moeilijker te maken. Ook werden functies toegevoegd die onderzoekers in verband brachten met keylogging en rootkittechnieken.

Juist de decentrale structuur die Sality zo veerkrachtig maakte, bleek uiteindelijk ook een zwakke plek te bevatten.

Vertrouwen zonder verificatie

Het P2P-protocol van Sality ging uit van een opvallend eenvoudig vertrouwensmodel. Besmette machines controleerden niet op een cryptografische identiteit, een digitale handtekening of een vooraf vastgelegde lijst met toegestane peers.

In plaats daarvan kon een publiek bereikbare machine die correct op de handshake reageerde, als legitieme peer worden beschouwd. De bots beschikten dus niet over een betrouwbaar mechanisme om vast te stellen of een andere machine daadwerkelijk onderdeel was van het oorspronkelijke netwerk.

Dat betekende dat onderzoekers de communicatie tussen de bots konden beïnvloeden zonder dat zij noodzakelijkerwijs iedere besmette machine afzonderlijk hoefden over te nemen. De zwakte zat niet zozeer in de kracht van de malware op één computer, maar in de manier waarop de computers elkaar vertrouwden.

Peerlijsten leeggetrokken

De onderzoekers maakten gebruik van een mechanisme waarmee Sality zijn super peers controleerde. Super peers waren belangrijke knooppunten binnen het P2P-netwerk. Zij hielpen bij het verspreiden van informatie en speelden een rol bij het doorgeven van instructies aan andere besmette machines.

Elke bot controleerde ongeveer iedere veertig minuten of zijn super peers nog online waren. Wanneer een peer niet meer reageerde, verloor die reputatie en kon hij uiteindelijk uit de peerlijst verdwijnen.

De onderzoekers gebruikten dit mechanisme om de bestaande super peers geleidelijk uit de peerlijsten van de bots te laten vallen. Daardoor raakten besmette machines hun bekende contactpunten kwijt en konden zij geen nieuwe instructies meer ontvangen.

Vervolgens werden sinkholes in de lege peerlijsten geplaatst. Een sinkhole is een door onderzoekers beheerde infrastructuur waarnaar verkeer van besmette systemen wordt omgeleid. Daarmee konden zij de resterende communicatie van het botnet controleren en verdere verspreiding van de malware tegengaan.

Volgens CrowdStrike hielp deze aanpak ook om systemen achter firewalls of NAT-routers te isoleren. Zulke apparaten zijn vaak niet rechtstreeks vanaf het internet bereikbaar, maar kunnen wel uitgaand verbinding maken met andere systemen. Door de P2P-communicatie te beïnvloeden, konden onderzoekers ook die machines bereiken zonder dat zij rechtstreeks verbinding hoefden te maken met iedere besmette computer.

Ook de verspreidingsinfrastructuur uitgeschakeld

Naast het verstoren van de P2P-communicatie werden ook de URL's offline gehaald die Sality gebruikte om payloads te verspreiden. Deze adressen werden via zogenoemde url packs onder besmette machines verspreid.

De Amerikaanse autoriteiten namen domeinen in beslag die bij de infrastructuur betrokken waren. Europese partners deden tegelijkertijd hetzelfde met domeinen die in Europa werden gehost. Daarmee werd niet alleen de bestaande communicatie verstoord, maar ook een belangrijke route afgesloten waarlangs besmette systemen nieuwe malware konden ophalen.

CrowdStrike stelt dat Sality in de loop der jaren payloads afleverde bij ruim 15.000 machines wereldwijd. Dat aantal heeft betrekking op de door onderzoekers vastgestelde verspreiding van payloads en moet niet worden verward met het totale aantal unieke IP-adressen dat ooit met het botnet in verband is gebracht.

Opsporing van resterende besmettingen

De ontmanteling betekent niet automatisch dat iedere besmette computer onmiddellijk schoon is. Een systeem waarop Sality nog aanwezig is, kan de malware blijven bevatten, ook wanneer de oorspronkelijke infrastructuur niet meer functioneert.

De Shadowserver Foundation werkt daarom samen met internetproviders en Computer Security Incident Response Teams (CSIRT's) om besmette systemen op te sporen en slachtoffers te informeren. Het doel daarvan is niet alleen om resterende infecties zichtbaar te maken, maar ook om te voorkomen dat besmette apparaten later opnieuw worden gebruikt voor criminele activiteiten.

Voor organisaties en thuisgebruikers onderstreept de operatie opnieuw hoe belangrijk het is om uitvoerbare bestanden uit onbekende bronnen niet zomaar te openen, systemen tijdig te patchen en beveiligingssoftware actueel te houden. Vooral malware die zich via gedeelde bestanden, usb-sticks of andere apparaten kan verspreiden, kan langdurig onopgemerkt blijven wanneer systemen onvoldoende worden gecontroleerd.

Een belangrijk voorbeeld van internationale samenwerking

De aanpak van Sality laat zien dat een botnet niet altijd hoeft te worden uitgeschakeld door iedere besmette computer afzonderlijk te benaderen. In dit geval konden onderzoekers gebruikmaken van een zwakte in het ontwerp van het netwerk zelf.

De combinatie van technische analyse, het verstoren van de P2P-communicatie, het in beslag nemen van domeinen en internationale samenwerking maakte het mogelijk om een botnet dat meer dan twee decennia actief was geweest, grotendeels offline te halen.

Sality geldt daarmee als een duidelijk voorbeeld van de manier waarop oude malware zich kan blijven aanpassen en overleven. Tegelijkertijd laat de operatie zien dat ook zeer hardnekkige botnets uiteindelijk kwetsbaar kunnen worden wanneer onderzoekers de onderliggende communicatie en vertrouwensmechanismen weten te doorgronden.

Door: Drifter