CrowdStrike dan Otoritas Federal Membongkar Malware Sality Setelah 8 Tahun Pencurian Kripto

Malware Sality asal Rusia yang secara diam-diam mencegat dan mengganti alamat kripto selama delapan tahun telah dinetralkan, dengan lebih dari 15.000 mesin terinfeksi diisolasi dalam operasi terkoordinasi.

CrowdStrike dan lembaga penegak hukum federal telah berhasil mengganggu operasi malware Rusia yang canggih yang mencuri mata uang kripto dari korban yang tidak curiga selama delapan tahun. Malware Sality beroperasi dengan memantau aktivitas clipboard dan mengganti alamat Bitcoin dan Ethereum yang disalin dengan dompet yang dikontrol penyerang, memungkinkan penjahat untuk mencegat transaksi sebelum pengguna dapat mendeteksi pertukaran.

Pembongkaran terkoordinasi mengisolasi lebih dari 15.000 mesin terinfeksi di seluruh dunia, menandai kemenangan signifikan melawan salah satu operasi pencurian kripto yang paling lama berlangsung dalam ekosistem aset digital. Peneliti keamanan memperkirakan malware mungkin telah mengalihkan jutaan dolar dalam mata uang kripto selama masa operasionalnya, meskipun angka pasti masih dalam penyelidikan karena otoritas terus melacak dana yang dicuri.

Teknik pembajakan clipboard Sality mewakili vektor serangan yang sangat berbahaya karena mengeksploitasi perilaku salin-tempel rutin pengguna mata uang kripto. Ketika korban menyalin alamat dompet yang sah untuk mengirim dana, malware akan langsung menggantinya dengan alamat penyerang di memori clipboard. Sebagian besar pengguna tidak pernah menyadari pertukaran, karena alamat mata uang kripto adalah string alfanumerik panjang yang jarang diverifikasi karakter demi karakter sebelum transaksi dikonfirmasi.

Mekanisme persistensi malware memungkinkannya tetap tidak terdeteksi di sistem terinfeksi selama bertahun-tahun dengan meniru proses sistem yang sah dan menghindari deteksi antivirus tradisional. Tim intelijen ancaman CrowdStrike mengidentifikasi infrastruktur komando dan kontrol operasi dan bekerja sama dengan penegak hukum internasional untuk memetakan jaringan perangkat yang dikompromikan sebelum melaksanakan gangguan terkoordinasi.

Bagi pengguna mata uang kripto, pembongkaran Sality menggarisbawahi pentingnya kritis memverifikasi alamat penerima sebelum mengonfirmasi transaksi, terutama untuk transfer besar. Pakar keamanan merekomendasikan menggunakan dompet perangkat keras dengan verifikasi layar, yang menampilkan alamat tujuan lengkap di perangkat itu sendiri daripada mengandalkan data clipboard yang berpotensi dikompromikan dari komputer host.

Asal Rusia dari malware menambah lapisan lain pada kekhawatiran berkelanjutan tentang operasi kejahatan siber yang berafiliasi dengan negara atau ditoleransi negara yang menargetkan pemegang mata uang kripto. Meskipun tidak ada koneksi pemerintah langsung yang telah ditetapkan, umur panjang operasi menunjukkan bahwa itu beroperasi dalam lingkungan permisif di mana pencurian mata uang kripto menghadapi tekanan penegakan hukum domestik minimal.

CrowdStrike telah merilis indikator kompromi dan tanda tangan deteksi untuk membantu tim keamanan lain mengidentifikasi sistem terinfeksi yang tersisa. Perusahaan menyarankan semua pengguna mata uang kripto untuk memindai perangkat mereka dengan perangkat lunak keamanan yang diperbarui dan menganggap transaksi apa pun yang dilakukan dari mesin yang berpotensi dikompromikan sebagai berisiko, terutama jika alamat dompet disalin dari clipboard selama jendela operasional delapan tahun malware Sality.