Politie en CrowdStrike leggen Sality-botnet stil, 15.000 machines blijven besmet

Het Sality-botnet is op 31 augustus stilgelegd door CrowdStrike, de FBI en opsporingsdiensten uit Bulgarije, Hongarije en Roemenie, maar de malware zelf blijft op ruim 15.000 besmette machines wereldwijd staan.

Dat verschil tussen ontregeld en opgeruimd is waar het voor een Nederlandse organisatie om draait. Sality is geen phishinggolf die je met een training wegneemt, maar een bestandsinfector die zich sinds 2003 aan Windows-executables hecht en meereist via netwerkschijven, gedeelde mappen en verwisselbare media. Hij zit daardoor zelden op de goed beheerde laptop van je marketeer, en juist wel op de machines die niemand meer aanraakt: de bedien-pc van een productielijn, een kassasysteem, een labopstelling, een werkstation dat een keer per maand een USB-stick krijgt. Precies de apparaten die buiten je patchbeleid vallen en vaak ook buiten je endpointbescherming.

Wat de sinkhole wel en niet doet

Sality had geen centrale commandoserver die je in beslag kunt nemen. De besmette machines praatten rechtstreeks met elkaar, in twee gescheiden netwerken (versie 3 en versie 4) met dezelfde codebasis maar verschillende sleutels. Elke bot houdt een lijst bij van super peers: publiek bereikbare besmette machines die de ruggengraat van het netwerk vormen.

Juist die lijst was de zwakke plek. Elke bot controleert elke 40 minuten of zijn opgeslagen peers nog online zijn en gooit peers die niet reageren er uiteindelijk uit, beschrijft het team van CrowdStrike Counter Adversary Operations. Dat onderhoudsritme werd tegen het botnet zelf gebruikt: legitieme super peers zijn tijdens die controle ongeldig gemaakt en er zijn eigen sinkhole-adressen in de leeggelopen lijsten geschoven. Machines achter een firewall of NAT zijn niet rechtstreeks te benaderen, dus die kregen hun peerlijst geleegd op het moment dat ze uit zichzelf een sinkhole aanspraken.

Parallel daaraan namen het Amerikaanse ministerie van Justitie, de FBI en de DCIS Sality-domeinen in de Verenigde Staten in beslag, terwijl diensten in Bulgarije, Hongarije en Roemenie de in Europa gehoste domeinen aanpakten. De beheerder kan zijn besmette machines nu geen nieuwe payloads meer sturen.

CrowdStrike zet er zelf nadrukkelijk bij dat malware die al op die systemen is geinstalleerd gewoon actief blijft en verwijderd moet worden. Een sinkhole knipt de aansturing door. Hij schoont niets op.

Waarom dit juist op je oudste machines zit

Sality kon zo lang doorleven omdat de besmettingen zichzelf reproduceren. De malware is polymorf en hecht zich aan uitvoerbare bestanden, dus er is geen phishingcampagne of exploitkit nodig om het netwerk op peil te houden. Een besmet installatiebestand op een netwerkschijf, of een USB-stick die van de ene bedien-pc naar de andere gaat, is genoeg.

De schaal laat zien hoe lang die staart is. Op zijn hoogtepunt gaf het botnet zijn beheerder toegang tot maximaal een miljoen besmette machines, en in totaal zijn er meer dan 11 miljoen unieke IP-adressen aan de infrastructuur gekoppeld, telde Europol. Wat er vorige week nog draaide, ruim 15.000 machines, is het restant dat 23 jaar lang door niemand werd opgemerkt.

Wat die machines deden was niet spectaculair, wel winstgevend. De afgelopen acht jaar was de belangrijkste payload EggJagger, een clipjacker die het klembord in de gaten houdt en een gekopieerd bitcoin- of ethereumadres stilletjes vervangt door een adres van de crimineel. CrowdStrike schat de buit via die ene payload op minstens 12,1 miljoen roebel, ongeveer 150.000 dollar. In eerdere jaren verspreidde Sality ook wachtwoorddieven, spamsoftware, proxydiensten en DDoS-modules.

Zo controleer je je eigen netwerk

Er is een concrete test. Alle besmette machines melden zich nu bij de sinkholes van CrowdStrike, dus UDP-verkeer naar het adres 188.166.101.148 wijst op een actieve Sality-infectie. Dat is zichtbaar in je firewalllogs en je netwerktelemetrie, ook op segmenten waar geen endpointagent draait. CrowdStrike publiceerde ook YARA-regels waarmee je draaiende processen scant op de vaste RSA-sleutels van versie 3 en 4, plus de laatste lijst met payload-URL's.

Wie niet zelf meekijkt, krijgt het signaal van buiten. De Shadowserver Foundation werkt met internetproviders en nationale CSIRT's aan slachtoffermelding, en die stichting stuurt dagelijks gratis remediatierapporten naar ruim 10.000 gecontroleerde abonnees, waaronder 201 nationale CSIRT's. Je kunt je eigen IP-reeksen daar kosteloos op laten aansluiten. In Nederland loopt de publieke kant via het NCSC, dat na de fusie met het Digital Trust Center per 1 januari 2026 het aanspreekpunt is voor 2,4 miljoen Nederlandse organisaties. Komt zo'n melding over een besmet IP-adres binnen, dan gaat die over het apparaat dat op dat moment achter je uitgaande adres naar buiten praatte, niet automatisch over een server.

Een architectuur die geen schild meer is

Sality gold twee decennia als onneembaar omdat een peer-to-peer-netwerk geen kop heeft om af te hakken. Dat argument is nu doorgeprikt met dezelfde klasse techniek die eerder tegen GameOver Zeus en Kelihos werkte: kent het protocol geen authenticatie, dan kan een verdediger zich gewoon als peer aanmelden. En omdat Sality zich via bestandsinfectie verspreidt, kan de beheerder zijn protocol niet patchen zonder zijn eigen netwerk in tweeen te breken.

De opsporingskant van dit soort acties is inmiddels routine. Bij Operatie Endgame haalden de Nederlandse politie en buitenlandse diensten in juni meer dan 24 miljoen gestolen inloggegevens van 384.000 computersystemen van in beslag genomen servers, en kort daarna hielp dezelfde Shadowserver Foundation bij het loskoppelen van ruim 2 miljoen gekaapte apparaten uit het residentiele proxynetwerk NetNut. Wat telkens overblijft is de opruimkant, en die ligt bij de eigenaar van het apparaat.

Bij Sality is dat geen serverpark maar een verzameling verouderde Windows-machines die precies daarom besmet raakten: ze worden door niemand beheerd. Het botnet is stil. De vraag welke machines in je eigen netwerk 23 jaar onder de radar konden blijven, is dat niet.