CrowdStrike والسلطات الفيدرالية تفكك برمجية Sality الخبيثة بعد 8 سنوات من سرقة العملات المشفرة

تم تحييد برمجية Sality الخبيثة الروسية المنشأ التي كانت تعترض وتستبدل عناوين العملات المشفرة سراً لمدة ثماني سنوات، مع عزل أكثر من 15,000 جهاز مصاب في عملية منسقة.

نجحت CrowdStrike ووكالات إنفاذ القانون الفيدرالية في تعطيل عملية برمجيات خبيثة روسية متطورة سرقت العملات المشفرة من ضحايا غير مدركين لمدة ثماني سنوات. كانت برمجية Sality الخبيثة تعمل من خلال مراقبة نشاط الحافظة واستبدال عناوين Bitcoin و Ethereum المنسوخة بمحافظ يسيطر عليها المهاجمون، مما يسمح للمجرمين باعتراض المعاملات قبل أن يتمكن المستخدمون من اكتشاف التبديل.

عزلت عملية التفكيك المنسقة أكثر من 15,000 جهاز مصاب حول العالم، مما يمثل انتصاراً كبيراً ضد واحدة من أطول عمليات سرقة العملات المشفرة في نظام الأصول الرقمية. يقدر باحثو الأمن أن البرمجية الخبيثة ربما حولت ملايين الدولارات من العملات المشفرة خلال عمرها التشغيلي، على الرغم من أن الأرقام الدقيقة لا تزال قيد التحقيق حيث تواصل السلطات تتبع الأموال المسروقة.

تمثل تقنية اختطاف الحافظة الخاصة بـ Sality ناقل هجوم خبيث بشكل خاص لأنها تستغل سلوك النسخ واللصق الروتيني لمستخدمي العملات المشفرة. عندما نسخ الضحايا عنوان محفظة شرعي لإرسال الأموال، كانت البرمجية الخبيثة تستبدله على الفور بعنوان المهاجم في ذاكرة الحافظة. لم يلاحظ معظم المستخدمين التبديل أبداً، حيث أن عناوين العملات المشفرة هي سلاسل أبجدية رقمية طويلة نادراً ما يتم التحقق منها حرفاً بحرف قبل تأكيد المعاملات.

سمحت آلية الاستمرارية للبرمجية الخبيثة بالبقاء غير مكتشفة على الأنظمة المصابة لسنوات من خلال تقليد عمليات النظام الشرعية وتجنب الكشف التقليدي بمكافحة الفيروسات. حدد فريق استخبارات التهديدات في CrowdStrike البنية التحتية للقيادة والسيطرة للعملية وعمل مع إنفاذ القانون الدولي لرسم خريطة لشبكة الأجهزة المخترقة قبل تنفيذ التعطيل المنسق.

بالنسبة لمستخدمي العملات المشفرة، يؤكد تفكيك Sality على الأهمية الحاسمة للتحقق من عناوين المستلمين قبل تأكيد المعاملات، خاصة بالنسبة للتحويلات الكبيرة. يوصي خبراء الأمن باستخدام محافظ الأجهزة مع التحقق على الشاشة، والتي تعرض عنوان الوجهة الكامل على الجهاز نفسه بدلاً من الاعتماد على بيانات الحافظة المحتملة المخترقة من الكمبيوتر المضيف.

يضيف الأصل الروسي للبرمجية الخبيثة طبقة أخرى للمخاوف المستمرة بشأن عمليات الجرائم الإلكترونية المرتبطة بالدولة أو المتسامح معها من قبل الدولة والتي تستهدف حاملي العملات المشفرة. على الرغم من عدم إثبات أي صلة حكومية مباشرة، فإن طول عمر العملية يشير إلى أنها عملت في بيئة متسامحة حيث واجهت سرقة العملات المشفرة ضغطاً ضئيلاً من إنفاذ القانون المحلي.

أصدرت CrowdStrike مؤشرات الاختراق وتوقيعات الكشف لمساعدة فرق الأمن الأخرى في تحديد الأنظمة المصابة المتبقية. تنصح الشركة جميع مستخدمي العملات المشفرة بفحص أجهزتهم بواسطة برامج أمان محدثة واعتبار أي معاملات تمت من أجهزة محتملة الاختراق معرضة للخطر، خاصة إذا تم نسخ عناوين المحفظة من الحافظة خلال النافذة التشغيلية لمدة ثماني سنوات لبرمجية Sality الخبيثة.