CrowdStrike и федеральные органы ликвидировали вредоносное ПО Sality после 8 лет кражи криптовалюты

Российское вредоносное ПО Sality, которое тайно перехватывало и подменяло адреса криптовалютных кошельков в течение восьми лет, было нейтрализовано, изолировано более 15 000 зараженных устройств в ходе скоординированной операции.

CrowdStrike и федеральные правоохранительные органы успешно пресекли сложную российскую операцию с вредоносным ПО, которая крала криптовалюту у ничего не подозревающих жертв в течение восьми лет. Вредоносная программа Sality работала, отслеживая активность буфера обмена и заменяя скопированные адреса Bitcoin и Ethereum на кошельки, контролируемые злоумышленниками, что позволяло преступникам перехватывать транзакции до того, как пользователи могли обнаружить подмену.

Скоординированная ликвидация изолировала более 15 000 зараженных машин по всему миру, что стало значительной победой против одной из самых длительных операций по краже криптовалюты в экосистеме цифровых активов. Исследователи безопасности оценивают, что вредоносное ПО могло перенаправить миллионы долларов в криптовалюте за время своего существования, хотя точные цифры остаются под следствием, поскольку власти продолжают отслеживать украденные средства.

Техника перехвата буфера обмена Sality представляет собой особенно коварный вектор атаки, поскольку эксплуатирует привычное поведение пользователей криптовалюты с копированием и вставкой. Когда жертвы копировали легитимный адрес кошелька для отправки средств, вредоносное ПО мгновенно заменяло его на адрес злоумышленника в памяти буфера обмена. Большинство пользователей никогда не замечали подмены, поскольку адреса криптовалютных кошельков являются длинными буквенно-цифровыми строками, которые редко проверяются посимвольно перед подтверждением транзакций.

Механизм устойчивости вредоносного ПО позволял ему оставаться необнаруженным в зараженных системах годами, имитируя легитимные системные процессы и избегая традиционного антивирусного обнаружения. Команда анализа угроз CrowdStrike идентифицировала инфраструктуру командования и контроля операции и работала с международными правоохранительными органами для картирования сети скомпрометированных устройств перед выполнением скоординированного пресечения.

Для пользователей криптовалюты ликвидация Sality подчеркивает критическую важность проверки адресов получателей перед подтверждением транзакций, особенно для крупных переводов. Эксперты по безопасности рекомендуют использовать аппаратные кошельки с экранной проверкой, которые отображают полный адрес назначения на самом устройстве, а не полагаться на потенциально скомпрометированные данные буфера обмена с основного компьютера.

Российское происхождение вредоносного ПО добавляет еще один уровень к продолжающимся опасениям относительно связанных с государством или толерируемых государством киберпреступных операций, направленных на владельцев криптовалюты. Хотя прямой связи с правительством не установлено, длительность операции предполагает, что она работала в разрешающей среде, где кража криптовалюты сталкивалась с минимальным давлением внутренних правоохранительных органов.

CrowdStrike опубликовала индикаторы компрометации и сигнатуры обнаружения, чтобы помочь другим командам безопасности идентифицировать оставшиеся зараженные системы. Компания советует всем пользователям криптовалюты просканировать свои устройства обновленным программным обеспечением безопасности и рассматривать любые транзакции, совершенные с потенциально скомпрометированных машин, как рискованные, особенно если адреса кошельков копировались из буфера обмена в течение восьмилетнего операционного окна вредоносного ПО Sality.