CrowdStrike i władze federalne zlikwidowały malware Sality po 8 latach kradzieży kryptowalut

Pochodzące z Rosji złośliwe oprogramowanie Sality, które przez osiem lat potajemnie przechwytywało i podmieniało adresy kryptowalut, zostało zneutralizowane, a w skoordynowanej operacji odizolowano ponad 15 000 zainfekowanych maszyn.

CrowdStrike i federalne agencje ścigania skutecznie zakłóciły działanie wyrafinowanej rosyjskiej operacji wykorzystującej złośliwe oprogramowanie, które przez osiem lat kradło kryptowaluty od niczego niepodejrzewających ofiar. Malware Sality działało poprzez monitorowanie aktywności schowka i podmianę skopiowanych adresów Bitcoin i Ethereum na portfele kontrolowane przez atakujących, umożliwiając przestępcom przechwytywanie transakcji zanim użytkownicy mogli wykryć zamianę.

Skoordynowana likwidacja odizolowała ponad 15 000 zainfekowanych maszyn na całym świecie, co stanowi znaczące zwycięstwo przeciwko jednej z najdłużej trwających operacji kradzieży kryptowalut w ekosystemie aktywów cyfrowych. Badacze bezpieczeństwa szacują, że malware mogło przekierować miliony dolarów w kryptowalutach podczas swojego życia operacyjnego, chociaż dokładne liczby pozostają w toku dochodzenia, ponieważ władze nadal śledzą skradzione fundusze.

Technika przechwytywania schowka Sality reprezentuje szczególnie podstępny wektor ataku, ponieważ wykorzystuje rutynowe zachowanie kopiowania i wklejania użytkowników kryptowalut. Kiedy ofiary kopiowały legalny adres portfela do wysłania środków, malware natychmiast podmieniało go na adres atakującego w pamięci schowka. Większość użytkowników nigdy nie zauważyła zamiany, ponieważ adresy kryptowalut to długie ciągi alfanumeryczne, które rzadko są weryfikowane znak po znaku przed potwierdzeniem transakcji.

Mechanizm trwałości złośliwego oprogramowania pozwalał mu pozostać niewykrytym w zainfekowanych systemach przez lata poprzez naśladowanie legalnych procesów systemowych i unikanie tradycyjnego wykrywania antywirusowego. Zespół analizy zagrożeń CrowdStrike zidentyfikował infrastrukturę dowodzenia i kontroli operacji i współpracował z międzynarodowymi organami ścigania, aby zmapować sieć skompromitowanych urządzeń przed wykonaniem skoordynowanego zakłócenia.

Dla użytkowników kryptowalut likwidacja Sality podkreśla krytyczne znaczenie weryfikacji adresów odbiorców przed potwierdzeniem transakcji, szczególnie w przypadku dużych przelewów. Eksperci ds. bezpieczeństwa zalecają używanie portfeli sprzętowych z weryfikacją na ekranie, które wyświetlają pełny adres docelowy na samym urządzeniu, zamiast polegać na potencjalnie skompromitowanych danych ze schowka z komputera głównego.

Rosyjskie pochodzenie złośliwego oprogramowania dodaje kolejną warstwę do trwających obaw dotyczących powiązanych z państwem lub tolerowanych przez państwo operacji cyberprzestępczych skierowanych przeciwko posiadaczom kryptowalut. Chociaż nie ustalono bezpośredniego związku z rządem, długowieczność operacji sugeruje, że działała w permisywnym środowisku, w którym kradzież kryptowalut napotykała minimalną presję krajowych organów ścigania.

CrowdStrike opublikowało wskaźniki kompromitacji i sygnatury wykrywania, aby pomóc innym zespołom bezpieczeństwa zidentyfikować pozostałe zainfekowane systemy. Firma radzi wszystkim użytkownikom kryptowalut przeskanowanie swoich urządzeń za pomocą zaktualizowanego oprogramowania zabezpieczającego i rozważenie wszelkich transakcji dokonanych z potencjalnie skompromitowanych maszyn jako ryzykownych, szczególnie jeśli adresy portfeli były kopiowane ze schowka podczas ośmioletniego okna operacyjnego malware Sality.