Eén verkeerde plak en je crypto was weg: botnet Sality opgerold

In dit artikel:

Het 23 jaar oude Sality-botnet, een netwerk van besmette computers dat wereldwijd voor cybercriminaliteit werd gebruikt, is uitgeschakeld. Cybersecuritybedrijf CrowdStrike werkte daarvoor samen met Amerikaanse en Europese opsporingsdiensten. Meer dan 15.000 apparaten zijn van het netwerk losgekoppeld.

Sality verscheen in 2003 en werd aanvankelijk ingezet voor onder meer diefstal van inloggegevens, spam en andere aanvallen. Later gebruikten criminelen het botnet ook om cryptovaluta te stelen. Malware controleerde het klembord van besmette computers en verving gekopieerde Bitcoin- en Ethereum-walletadressen door adressen van de aanvallers. Slachtoffers die het adres niet controleerden, maakten daardoor geld over naar de criminelen.

Volgens CrowdStrike werd op deze manier minstens 150.000 dollar aan crypto gestolen. Door koersstijgingen was de waarde van een wallet met gestolen valuta in januari 2025 opgelopen tot ongeveer 1,35 miljoen dollar.

Sality bleef zo lang actief doordat besmette computers rechtstreeks met elkaar communiceerden, zonder centrale server die eenvoudig kon worden uitgeschakeld. Onderzoekers lieten de apparaten verbinding maken met door hen beheerde servers. Daarnaast namen Amerikaanse autoriteiten domeinen in beslag en schakelden politiediensten in Bulgarije, Hongarije en Roemenië servers uit.

De dreiging is niet volledig verdwenen: loskoppeling verwijdert de malware niet automatisch. Internetproviders proberen daarom eigenaren van besmette computers te waarschuwen.