CrowdStrikeと連邦当局が8年間の仮想通貨窃盗の後、Salityマルウェアを解体

8年間密かに仮想通貨アドレスを傍受して置き換えたロシア発のSalityマルウェアが無力化され、協調作戦で15,000台以上の感染マシンが隔離された。

CrowdStrikeと連邦法執行機関は、8年間疑うことを知らない被害者から仮想通貨を盗んだ高度なロシアのマルウェア作戦を成功裏に中断しました。Salityマルウェアは、クリップボード活動を監視し、コピーされたBitcoinとEthereumアドレスを攻撃者が制御するウォレットに置き換えることで動作し、犯罪者がユーザーがスワップを検出する前にトランザクションを傍受することを可能にしました。

協調した摘発は世界中で15,000台以上の感染マシンを隔離し、デジタル資産エコシステムにおける最も長く続いた仮想通貨窃盗作戦の1つに対する重要な勝利を示しました。セキュリティ研究者は、マルウェアが運用期間中に数百万ドルの仮想通貨を迂回させた可能性があると推定していますが、当局が盗まれた資金の追跡を続けているため、正確な数字は調査中です。

Salityのクリップボードハイジャック技術は、仮想通貨ユーザーの日常的なコピー&ペースト動作を悪用するため、特に陰険な攻撃ベクトルを表しています。被害者が資金を送るために正当なウォレットアドレスをコピーすると、マルウェアはクリップボードメモリ内で瞬時に攻撃者のアドレスに置き換えました。トランザクションが確認される前に文字ごとに検証されることはほとんどない長い英数字文字列であるため、ほとんどのユーザーはスイッチに気付きませんでした。

マルウェアの永続性メカニズムにより、正当なシステムプロセスを模倣し、従来のアンチウイルス検出を回避することで、感染したシステム上で何年も検出されないままにすることができました。CrowdStrikeの脅威インテリジェンスチームは、作戦のコマンド&コントロールインフラストラクチャを特定し、協調した中断を実行する前に侵害されたデバイスのネットワークをマッピングするために国際法執行機関と協力しました。

仮想通貨ユーザーにとって、Salityの摘発は、特に大規模な送金の場合、トランザクションを確認する前に受信者アドレスを検証することの重要性を強調しています。セキュリティ専門家は、ホストコンピュータから潜在的に侵害されたクリップボードデータに依存するのではなく、デバイス自体に完全な宛先アドレスを表示する画面検証付きハードウェアウォレットの使用を推奨しています。

マルウェアのロシア起源は、仮想通貨保有者を標的とする国家関連または国家が容認するサイバー犯罪作戦に関する継続的な懸念に別の層を追加します。直接的な政府の関与は確立されていませんが、作戦の長寿命は、仮想通貨窃盗が最小限の国内法執行圧力に直面した許容的な環境で運営されていたことを示唆しています。

CrowdStrikeは、他のセキュリティチームが残りの感染システムを識別するのを支援するために、侵害の指標と検出署名をリリースしました。同社は、すべての仮想通貨ユーザーに更新されたセキュリティソフトウェアでデバイスをスキャンし、特にSalityマルウェアの8年間の運用ウィンドウ中にウォレットアドレスがクリップボードからコピーされた場合、潜在的に侵害されたマシンから行われたトランザクションをリスクがあると見なすようアドバイスしています。