Botnettet Sality er slått ut etter 23 år i drift

Det amerikanske justisdepartementet kunngjorde 1. september 2026, sammen med internasjonalt politisamarbeid og de private partnerne CrowdStrike og Shadowserver Foundation, at infrastrukturen bak skadevaren Sality er slått ut. Sality har vært i drift siden 2003 og har fungert som et desentralisert likemannsnett, altså uten en sentral kontrolltjener. Operasjonen omfattet en sinkhole i selve likemannsnettet og beslag av ondsinnede domener i USA og Europa. CrowdStrike oppgir at nedtakingen ble gjennomført 31. august 2026, og at nettet omfattet over 15 000 maskiner. Partnerne arbeider nå med internettleverandører og responsmiljøer for å finne infiserte systemer og hjelpe eierne.

Hva som skjer teknisk

Sality begynte som en filinfektor. Skadevaren skriver seg inn i kjørbare filer og sprer seg videre gjennom nettverksdelinger og flyttbare medier, og den endrer utseende for hver kopi for å unngå gjenkjenning på signatur. Det er gammel håndverksskadevare, og det er nettopp derfor den har overlevd. Den forutsetter ingen ny sårbarhet, bare filer som deles og maskiner som får kjøre det de finner. CrowdStrike beskriver to adskilte likemannsnett, versjon tre og fire, som deler kodebase men bruker uforenlige protokoller.

Uten en sentral tjener har nettet heller ikke ett punkt å slå ut. Hver infisert maskin har i stedet en liste over andre infiserte maskiner, og ordrer sprer seg fra likemann til likemann. Nedtakingen utnyttet at denne protokollen manglet autentisering. Partnerne satte inn egne noder i likemannslistene og fjernet de ekte, slik at maskinene etter hvert bare snakket med noder de som tok ned nettet kontrollerte. Kommandokanalen ble dermed liggende død. CrowdStrike oppgir at nyttelasten de siste årene har vært et verktøy som overvåker utklippstavlen og bytter ut adresser til kryptolommebøker med operatørens egne, og at nettet også har vært brukt til tyveri av legitimasjon, søppelpost, mellomtjenertrafikk og tjenestenektangrep. I nedtakingen deltok blant andre FBI, etterforskningstjenesten i det amerikanske forsvarsdepartementet, Europol, Eurojust og politimyndigheter i Bulgaria, Ungarn og Romania.

Hva det betyr for deg som drifter eldre maskiner

Det viktigste i denne saken er hva en nedtaking ikke gjør. Maskinene som er infisert, er fortsatt infisert. Det som er borte, er muligheten operatøren hadde til å gi dem nye ordrer. Får du et varsel fra internettleverandøren eller fra et responsmiljø de neste ukene, gjelder det en maskin som har stått og snakket med et botnett uten at noen la merke til det.

Spørsmålet er hvor slike maskiner står hos deg. De står sjelden i det sentralt forvaltede klientmiljøet. De står i produksjonshallen, på verkstedet, i laboratoriet og i resepsjonen, gjerne på en gammel Windows-utgave, ofte med en minnepinne som går mellom maskiner. Vår vurdering er at saken derfor sier mer om aktivalisten enn om skadevare. Skadevare fra 2003 lever fordi det finnes maskiner ingen har satt navn på.

Berigo anbefaler

• Sørg for at varsler fra internettleverandør eller responsmiljø om infiserte adresser har et kontaktpunkt og en rutine hos deg.
• Let etter maskiner utenfor sentral forvaltning, særlig i produksjon, verksted og laboratorium, og før dem inn i aktivalisten.
• Slå av automatisk kjøring fra flyttbare medier, og begrens skrivetilgangen til nettverksdelinger.
• Bekreft mottakeradressen i en egen kanal ved utbetalinger i kryptovaluta, siden utklippstavlen kan endres av skadevare.
• Installer maskiner som har vært infisert av en filinfektor på nytt, framfor å forsøke å rense dem.