CrowdStrike e autoridades federais desmantelam malware Sality após 8 anos de roubo de criptomoedas

O malware Sality de origem russa que secretamente interceptava e substituía endereços de criptomoedas por oito anos foi neutralizado, com mais de 15.000 máquinas infectadas isoladas em operação coordenada.

A CrowdStrike e agências federais de segurança desmantelaram com sucesso uma sofisticada operação de malware russo que roubou criptomoedas de vítimas desavisadas durante oito anos. O malware Sality operava monitorando a atividade da área de transferência e substituindo endereços copiados de Bitcoin e Ethereum com carteiras controladas por atacantes, permitindo que criminosos interceptassem transações antes que os usuários pudessem detectar a troca.

O desmantelamento coordenado isolou mais de 15.000 máquinas infectadas em todo o mundo, marcando uma vitória significativa contra uma das operações de roubo de criptomoedas mais longas no ecossistema de ativos digitais. Pesquisadores de segurança estimam que o malware pode ter desviado milhões de dólares em criptomoedas durante seu tempo de operação, embora números exatos permaneçam sob investigação enquanto autoridades continuam rastreando os fundos roubados.

A técnica de sequestro de área de transferência do Sality representa um vetor de ataque particularmente insidioso porque explora o comportamento rotineiro de copiar e colar dos usuários de criptomoedas. Quando vítimas copiavam um endereço de carteira legítimo para enviar fundos, o malware instantaneamente o substituía pelo endereço de um atacante na memória da área de transferência. A maioria dos usuários nunca notou a troca, já que endereços de criptomoedas são longas sequências alfanuméricas que raramente são verificadas caractere por caractere antes das transações serem confirmadas.

O mecanismo de persistência do malware permitiu que permanecesse indetectável em sistemas infectados por anos imitando processos legítimos do sistema e evadindo detecção antivírus tradicional. A equipe de inteligência de ameaças da CrowdStrike identificou a infraestrutura de comando e controle da operação e trabalhou com autoridades internacionais para mapear a rede de dispositivos comprometidos antes de executar a interrupção coordenada.

Para usuários de criptomoedas, o desmantelamento do Sality ressalta a importância crítica de verificar endereços de destinatários antes de confirmar transações, particularmente para transferências grandes. Especialistas em segurança recomendam usar carteiras de hardware com verificação em tela, que exibem o endereço de destino completo no próprio dispositivo em vez de depender de dados de área de transferência potencialmente comprometidos do computador hospedeiro.

A origem russa do malware adiciona outra camada às preocupações contínuas sobre operações de cibercrime afiliadas ao estado ou toleradas pelo estado direcionadas a detentores de criptomoedas. Embora nenhuma conexão governamental direta tenha sido estabelecida, a longevidade da operação sugere que operou em um ambiente permissivo onde o roubo de criptomoedas enfrentou pressão mínima das forças de segurança domésticas.

A CrowdStrike divulgou indicadores de comprometimento e assinaturas de detecção para ajudar outras equipes de segurança a identificar sistemas infectados restantes. A empresa aconselha todos os usuários de criptomoedas a escanearem seus dispositivos com software de segurança atualizado e considerarem quaisquer transações feitas de máquinas potencialmente comprometidas como em risco, particularmente se endereços de carteira foram copiados da área de transferência durante a janela operacional de oito anos do malware Sality.