CrowdStrike와 연방 당국, 8년간 암호화폐 절도 후 Sality 악성코드 해체

8년 동안 은밀하게 암호화폐 주소를 가로채고 교체한 러시아 발 Sality 악성코드가 무력화되었으며, 조정된 작전에서 15,000대 이상의 감염된 기기가 격리되었습니다.

CrowdStrike와 연방 법 집행 기관이 8년 동안 의심하지 않는 피해자들로부터 암호화폐를 훔친 정교한 러시아 악성코드 작전을 성공적으로 방해했습니다. Sality 악성코드는 클립보드 활동을 모니터링하고 복사된 비트코인 및 이더리움 주소를 공격자가 제어하는 지갑으로 교체하여 작동했으며, 이를 통해 범죄자들이 사용자가 교환을 감지하기 전에 거래를 가로챌 수 있었습니다.

조정된 적발은 전 세계적으로 15,000대 이상의 감염된 기기를 격리하여 디지털 자산 생태계에서 가장 오래 지속된 암호화폐 절도 작전 중 하나에 대한 중요한 승리를 기록했습니다. 보안 연구원들은 악성코드가 운영 기간 동안 수백만 달러의 암호화폐를 우회시켰을 수 있다고 추정하지만, 당국이 도난당한 자금을 계속 추적하고 있어 정확한 수치는 조사 중입니다.

Sality의 클립보드 하이재킹 기술은 암호화폐 사용자의 일상적인 복사-붙여넣기 행동을 악용하기 때문에 특히 음흉한 공격 벡터를 나타냅니다. 피해자들이 자금을 보내기 위해 합법적인 지갑 주소를 복사하면 악성코드가 클립보드 메모리에서 즉시 공격자의 주소로 교체했습니다. 거래가 확인되기 전에 문자별로 거의 확인되지 않는 긴 영숫자 문자열인 암호화폐 주소 때문에 대부분의 사용자는 교환을 눈치채지 못했습니다.

악성코드의 지속성 메커니즘은 합법적인 시스템 프로세스를 모방하고 전통적인 바이러스 백신 탐지를 회피함으로써 감염된 시스템에서 수년 동안 탐지되지 않도록 했습니다. CrowdStrike의 위협 인텔리전스 팀은 작전의 명령 및 제어 인프라를 식별하고 조정된 중단을 실행하기 전에 손상된 장치의 네트워크를 매핑하기 위해 국제 법 집행 기관과 협력했습니다.

암호화폐 사용자에게 Sality 적발은 특히 대규모 이체의 경우 거래를 확인하기 전에 수신자 주소를 확인하는 것의 중요성을 강조합니다. 보안 전문가들은 호스트 컴퓨터의 잠재적으로 손상된 클립보드 데이터에 의존하는 대신 장치 자체에 전체 대상 주소를 표시하는 화면 확인 기능이 있는 하드웨어 지갑 사용을 권장합니다.

악성코드의 러시아 기원은 암호화폐 보유자를 표적으로 하는 국가 관련 또는 국가가 용인하는 사이버 범죄 작전에 대한 지속적인 우려에 또 다른 층을 추가합니다. 직접적인 정부 연결이 확립되지는 않았지만, 작전의 장수명은 암호화폐 절도가 최소한의 국내 법 집행 압력에 직면한 허용적인 환경에서 운영되었음을 시사합니다.

CrowdStrike는 다른 보안 팀이 남은 감염된 시스템을 식별하는 데 도움이 되도록 손상 지표 및 탐지 시그니처를 공개했습니다. 회사는 모든 암호화폐 사용자에게 업데이트된 보안 소프트웨어로 장치를 스캔하고, 특히 Sality 악성코드의 8년 운영 기간 동안 지갑 주소가 클립보드에서 복사된 경우 잠재적으로 손상된 기기에서 수행된 모든 거래를 위험한 것으로 간주할 것을 권고합니다.