CrowdStrike und Bundesbehörden zerschlagen Sality-Malware nach 8 Jahren Kryptowährungsdiebstahl

Die russische Sality-Malware, die acht Jahre lang heimlich Kryptowährungsadressen abfing und ersetzte, wurde neutralisiert, über 15.000 infizierte Geräte wurden in koordinierter Aktion isoliert.

CrowdStrike und bundesstaatliche Strafverfolgungsbehörden haben erfolgreich eine ausgeklügelte russische Malware-Operation gestoppt, die acht Jahre lang Kryptowährungen von ahnungslosen Opfern stahl. Die Sality-Malware arbeitete, indem sie die Zwischenablage-Aktivität überwachte und kopierte Bitcoin- und Ethereum-Adressen durch von Angreifern kontrollierte Wallets ersetzte, wodurch Kriminelle Transaktionen abfangen konnten, bevor Benutzer den Austausch entdecken konnten.

Die koordinierte Zerschlagung isolierte über 15.000 infizierte Maschinen weltweit und markiert einen bedeutenden Sieg gegen eine der längsten Kryptowährungsdiebstahl-Operationen im digitalen Asset-Ökosystem. Sicherheitsforscher schätzen, dass die Malware während ihrer Betriebszeit Millionen von Dollar in Kryptowährung umgeleitet haben könnte, obwohl genaue Zahlen unter Untersuchung bleiben, da Behörden weiterhin gestohlene Gelder verfolgen.

Die Zwischenablage-Hijacking-Technik von Sality stellt einen besonders heimtückischen Angriffsvektor dar, da sie das routinemäßige Kopier- und Einfügeverhalten von Kryptowährungsbenutzern ausnutzt. Wenn Opfer eine legitime Wallet-Adresse zum Senden von Geldern kopierten, ersetzte die Malware sie sofort durch die Adresse eines Angreifers im Zwischenablage-Speicher. Die meisten Benutzer bemerkten den Austausch nie, da Kryptowährungsadressen lange alphanumerische Zeichenfolgen sind, die selten Zeichen für Zeichen überprüft werden, bevor Transaktionen bestätigt werden.

Der Persistenzmechanismus der Malware ermöglichte es ihr, jahrelang unentdeckt auf infizierten Systemen zu bleiben, indem sie legitime Systemprozesse imitierte und traditionelle Antiviren-Erkennung umging. Das Threat Intelligence-Team von CrowdStrike identifizierte die Befehls- und Kontrollinfrastruktur der Operation und arbeitete mit internationalen Strafverfolgungsbehörden zusammen, um das Netzwerk kompromittierter Geräte zu kartieren, bevor die koordinierte Unterbrechung durchgeführt wurde.

Für Kryptowährungsbenutzer unterstreicht die Zerschlagung von Sality die kritische Bedeutung der Überprüfung von Empfängeradressen vor der Bestätigung von Transaktionen, insbesondere bei großen Überweisungen. Sicherheitsexperten empfehlen die Verwendung von Hardware-Wallets mit Bildschirmverifizierung, die die vollständige Zieladresse auf dem Gerät selbst anzeigen, anstatt sich auf potenziell kompromittierte Zwischenablage-Daten vom Host-Computer zu verlassen.

Der russische Ursprung der Malware fügt eine weitere Ebene zu anhaltenden Bedenken über staatlich verbundene oder staatlich tolerierte Cyberkriminalitätsoperationen hinzu, die auf Kryptowährungsinhaber abzielen. Obwohl keine direkte Regierungsverbindung festgestellt wurde, deutet die Langlebigkeit der Operation darauf hin, dass sie in einer permissiven Umgebung operierte, in der Kryptowährungsdiebstahl minimalen Druck von inländischen Strafverfolgungsbehörden erfuhr.

CrowdStrike hat Kompromittierungsindikatoren und Erkennungssignaturen veröffentlicht, um anderen Sicherheitsteams bei der Identifizierung verbleibender infizierter Systeme zu helfen. Das Unternehmen rät allen Kryptowährungsbenutzern, ihre Geräte mit aktualisierter Sicherheitssoftware zu scannen und alle Transaktionen von potenziell kompromittierten Maschinen als risikobehaftet zu betrachten, insbesondere wenn Wallet-Adressen während des achtjährigen Betriebsfensters der Sality-Malware aus der Zwischenablage kopiert wurden.