CrowdStrike et les autorités fédérales démantèlent le malware Sality après 8 ans de vol de cryptomonnaies

Le malware Sality d'origine russe qui interceptait et remplaçait secrètement les adresses de cryptomonnaies pendant huit ans a été neutralisé, plus de 15 000 machines infectées isolées lors d'une opération coordonnée.

CrowdStrike et les agences fédérales de sécurité ont réussi à perturber une opération sophistiquée de malware russe qui a volé des cryptomonnaies à des victimes sans méfiance pendant huit ans. Le malware Sality fonctionnait en surveillant l'activité du presse-papiers et en remplaçant les adresses Bitcoin et Ethereum copiées par des portefeuilles contrôlés par des attaquants, permettant aux criminels d'intercepter les transactions avant que les utilisateurs ne puissent détecter l'échange.

Le démantèlement coordonné a isolé plus de 15 000 machines infectées dans le monde entier, marquant une victoire significative contre l'une des opérations de vol de cryptomonnaies les plus longues dans l'écosystème des actifs numériques. Les chercheurs en sécurité estiment que le malware a pu détourner des millions de dollars en cryptomonnaies pendant sa durée de vie opérationnelle, bien que les chiffres exacts restent sous enquête alors que les autorités continuent de tracer les fonds volés.

La technique de détournement du presse-papiers de Sality représente un vecteur d'attaque particulièrement insidieux car elle exploite le comportement routinier de copier-coller des utilisateurs de cryptomonnaies. Lorsque les victimes copiaient une adresse de portefeuille légitime pour envoyer des fonds, le malware la remplaçait instantanément par l'adresse d'un attaquant dans la mémoire du presse-papiers. La plupart des utilisateurs n'ont jamais remarqué l'échange, car les adresses de cryptomonnaies sont de longues chaînes alphanumériques rarement vérifiées caractère par caractère avant la confirmation des transactions.

Le mécanisme de persistance du malware lui a permis de rester indétectable sur les systèmes infectés pendant des années en imitant les processus système légitimes et en échappant à la détection antivirus traditionnelle. L'équipe de renseignement sur les menaces de CrowdStrike a identifié l'infrastructure de commande et de contrôle de l'opération et a travaillé avec les forces de l'ordre internationales pour cartographier le réseau d'appareils compromis avant d'exécuter la perturbation coordonnée.

Pour les utilisateurs de cryptomonnaies, le démantèlement de Sality souligne l'importance critique de vérifier les adresses des destinataires avant de confirmer les transactions, en particulier pour les gros transferts. Les experts en sécurité recommandent d'utiliser des portefeuilles matériels avec vérification à l'écran, qui affichent l'adresse de destination complète sur l'appareil lui-même plutôt que de s'appuyer sur des données de presse-papiers potentiellement compromises de l'ordinateur hôte.

L'origine russe du malware ajoute une autre couche aux préoccupations continues concernant les opérations de cybercriminalité affiliées à l'État ou tolérées par l'État ciblant les détenteurs de cryptomonnaies. Bien qu'aucune connexion gouvernementale directe n'ait été établie, la longévité de l'opération suggère qu'elle a fonctionné dans un environnement permissif où le vol de cryptomonnaies a fait face à une pression minimale des forces de l'ordre nationales.

CrowdStrike a publié des indicateurs de compromission et des signatures de détection pour aider d'autres équipes de sécurité à identifier les systèmes infectés restants. L'entreprise conseille à tous les utilisateurs de cryptomonnaies de scanner leurs appareils avec un logiciel de sécurité mis à jour et de considérer toutes les transactions effectuées depuis des machines potentiellement compromises comme à risque, en particulier si les adresses de portefeuille ont été copiées depuis le presse-papiers pendant la fenêtre opérationnelle de huit ans du malware Sality.