CrowdStrike y autoridades federales desmantelan malware Sality tras 8 años de robo de criptomonedas

El malware Sality de origen ruso que interceptaba y reemplazaba secretamente direcciones de criptomonedas durante ocho años ha sido neutralizado, con más de 15,000 máquinas infectadas aisladas en operación coordinada.

CrowdStrike y agencias federales de seguridad han desmantelado exitosamente una sofisticada operación de malware ruso que robó criptomonedas a víctimas desprevenidas durante ocho años. El malware Sality operaba monitoreando la actividad del portapapeles y reemplazando direcciones copiadas de Bitcoin y Ethereum con carteras controladas por atacantes, permitiendo a los criminales interceptar transacciones antes de que los usuarios pudieran detectar el cambio.

El desmantelamiento coordinado aisló más de 15,000 máquinas infectadas en todo el mundo, marcando una victoria significativa contra una de las operaciones de robo de criptomonedas más prolongadas en el ecosistema de activos digitales. Investigadores de seguridad estiman que el malware pudo haber desviado millones de dólares en criptomonedas durante su vida operativa, aunque las cifras exactas permanecen bajo investigación mientras las autoridades continúan rastreando los fondos robados.

La técnica de secuestro de portapapeles de Sality representa un vector de ataque particularmente insidioso porque explota el comportamiento rutinario de copiar y pegar de los usuarios de criptomonedas. Cuando las víctimas copiaban una dirección de cartera legítima para enviar fondos, el malware reemplazaba instantáneamente con la dirección de un atacante en la memoria del portapapeles. La mayoría de usuarios nunca notaron el cambio, ya que las direcciones de criptomonedas son cadenas alfanuméricas largas que raramente se verifican carácter por carácter antes de confirmar transacciones.

El mecanismo de persistencia del malware le permitió permanecer indetectable en sistemas infectados durante años imitando procesos legítimos del sistema y evadiendo la detección antivirus tradicional. El equipo de inteligencia de amenazas de CrowdStrike identificó la infraestructura de comando y control de la operación y trabajó con fuerzas del orden internacionales para mapear la red de dispositivos comprometidos antes de ejecutar la interrupción coordinada.

Para usuarios de criptomonedas, el desmantelamiento de Sality subraya la importancia crítica de verificar direcciones de destinatarios antes de confirmar transacciones, particularmente para transferencias grandes. Expertos en seguridad recomiendan usar carteras de hardware con verificación en pantalla, que muestran la dirección de destino completa en el dispositivo mismo en lugar de depender de datos de portapapeles potencialmente comprometidos del ordenador anfitrión.

El origen ruso del malware añade otra capa a las preocupaciones continuas sobre operaciones de cibercrimen afiliadas al estado o toleradas por el estado dirigidas contra poseedores de criptomonedas. Aunque no se ha establecido conexión gubernamental directa, la longevidad de la operación sugiere que operó en un ambiente permisivo donde el robo de criptomonedas enfrentó presión mínima de las fuerzas del orden domésticas.

CrowdStrike ha publicado indicadores de compromiso y firmas de detección para ayudar a otros equipos de seguridad a identificar sistemas infectados restantes. La compañía aconseja a todos los usuarios de criptomonedas escanear sus dispositivos con software de seguridad actualizado y considerar cualquier transacción realizada desde máquinas potencialmente comprometidas como en riesgo, particularmente si las direcciones de cartera fueron copiadas del portapapeles durante la ventana operativa de ocho años del malware Sality.