"""

Internationale Operation gegen das Sality-Botnet

In den USA wurde eine Operation gegen das Sality-Botnet und die damit verbundene Schadsoftware eingeleitet, die laut Angaben für Krypto-Diebstahl genutzt wurde. Das US-Justizministerium (Department of Justice) teilte in einer am Dienstag veröffentlichten Erklärung mit, dass das Netzwerk mit Unterstützung von Behörden in Bulgarien, Ungarn und Rumänien sowie den Partnern aus der Privatwirtschaft CrowdStrike und Shadowserver Foundation in seiner Funktionsweise gestört wurde.

Nach Angaben der Behörden wurde Sality seit 2003 eingesetzt, um Schadsoftware auf kompromittierten Geräten zu installieren. In der Mitteilung hieß es, die Infrastruktur sei sowohl mit dem Diebstahl von Krypto-Assets als auch mit anderen Cyberangriffen verbunden gewesen.

Wer war an der Operation beteiligt?

Die Ermittlungen wurden durch die Zusammenarbeit staatlicher Stellen mit Cybersecurity-Unternehmen geführt. Den Akten zufolge basierte die ins Visier genommene Struktur auf einem Botnet-Mechanismus, der international operierte und infizierte Geräte in einem Peer-to-Peer-Netzwerk zusammenführte.

Wie änderte die Schadsoftware Wallet-Adressen?

Nach Einschätzung von CrowdStrike setzte die Struktur hinter Sality in den vergangenen acht Jahren ein Clipjacking-Werkzeug namens EggJagger ein. Dieses Tool überwachte Krypto-Wallet-Adressen, die Nutzer in die Zwischenablage kopierten, und ersetzte sie unbemerkt durch Adressen, die von den Angreifern kontrolliert wurden.

Vor allem bei Bitcoin- und Ethereum-Transaktionen führte diese Methode dazu, dass Zahlungen ohne Wissen der Nutzer an eine andere Wallet umgeleitet wurden. Dem Unternehmen zufolge wurden auf diese Weise mindestens 12,1 Millionen Rubel, also rund 150.000 US-Dollar, an Krypto-Assets gestohlen.

Was sagen die Zahlen?

CrowdStrike berichtete, dass der Wert ungenutzter digitaler Vermögenswerte im Januar 2025 mit rund 1,5 Millionen US-Dollar seinen Höchststand erreichte. Die Daten zeigen, dass selbst vermeintlich kleine Adressaustausch-Angriffe im Laufe der Zeit erhebliche finanzielle Schäden verursachen können.

Wichtige Daten

  • Die Zahl der infizierten Geräte, die Teil des Botnets gewesen sein sollen, liegt bei rund 15.000.
  • Das Netzwerk überprüfte laut Angaben alle 40 Minuten, ob die Systeme online waren.
  • Der mit Krypto-Diebstahl verbundene Zeitraum umfasst die vergangenen acht Jahre.

Was war das Ergebnis des Eingriffs?

US-Behörden und CrowdStrike erklärten, dass die Hintermänner von Sality nach der Operation ihre Fähigkeit verloren hätten, mit infizierten Maschinen zu kommunizieren. Damit sei ein wichtiger Teil der Infrastruktur deaktiviert worden, die für den Diebstahl von Kryptowährungen durch das Austauschen von Adressen genutzt wurde.

Der Fall zeigt erneut, dass Schadsoftware, die auf das Copy-and-Paste-Verhalten bei Krypto-Transaktionen abzielt, direkt zu finanziellen Verlusten führen kann. Zugleich verdeutlicht die Operation, dass die Zusammenarbeit zwischen staatlichen Stellen und der Privatwirtschaft im Kampf gegen grenzüberschreitende Cyberkriminalität immer wichtiger wird.

"""