CrowdStrike และหน่วยงานกลางปิดปฏิบัติการมัลแวร์ Sality หลังขโมยคริปโตมา 8 ปี

มัลแวร์ Sality ที่มีต้นกำเนิดจากรัสเซียซึ่งดักจับและแทนที่แอดเดรสคริปโตอย่างลับๆ เป็นเวลาแปดปีถูกทำให้เป็นกลางแล้ว โดยมีเครื่องติดเชื้อกว่า 15,000 เครื่องถูกแยกออกในปฏิบัติการประสานงาน

CrowdStrike และหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางประสบความสำเร็จในการทำลายปฏิบัติการมัลแวร์ของรัสเซียที่ซับซ้อนซึ่งขโมยคริปโตเคอร์เรนซีจากเหยื่อที่ไม่รู้เนื้อรู้ตัวเป็นเวลาแปดปี มัลแวร์ Sality ทำงานโดยการตรวจสอบกิจกรรมคลิปบอร์ดและแทนที่แอดเดรส Bitcoin และ Ethereum ที่คัดลอกด้วยกระเป๋าเงินที่ผู้โจมตีควบคุม ทำให้อาชญากรสามารถดักจับธุรกรรมได้ก่อนที่ผู้ใช้จะตรวจพบการแลกเปลี่ยน

การปิดปฏิบัติการที่ประสานงานกันแยกเครื่องติดเชื้อกว่า 15,000 เครื่องทั่วโลก ถือเป็นชัยชนะสำคัญต่อหนึ่งในปฏิบัติการขโมยคริปโตที่ดำเนินการยาวนานที่สุดในระบบนิเวศสินทรัพย์ดิจิทัล นักวิจัยด้านความปลอดภัยประเมินว่ามัลแวร์อาจเบี่ยงเงินเป็นคริปโตเคอร์เรนซีนับล้านดอลลาร์ตลอดอายุการใช้งาน แม้ว่าตัวเลขที่แน่นอนยังคงอยู่ภายใต้การสอบสวนในขณะที่เจ้าหน้าที่ยังคงติดตามเงินที่ถูกขโมย

เทคนิคการแย่งชิงคลิปบอร์ดของ Sality แสดงถึงเวกเตอร์การโจมตีที่ร้ายกาจเป็นพิเศษเพราะมันใช้ประโยชน์จากพฤติกรรมการคัดลอก-วางตามปกติของผู้ใช้คริปโตเคอร์เรนซี เมื่อเหยื่อคัดลอกแอดเดรสกระเป๋าเงินที่ถูกต้องเพื่อส่งเงิน มัลแวร์จะแทนที่ด้วยแอดเดรสของผู้โจมตีในหน่วยความจำคลิปบอร์ดทันที ผู้ใช้ส่วนใหญ่ไม่เคยสังเกตเห็นการสลับ เพราะแอดเดรสคริปโตเคอร์เรนซีเป็นสตริงตัวอักษรตัวเลขยาวที่ไม่ค่อยได้รับการตรวจสอบทีละตัวอักษรก่อนที่ธุรกรรมจะได้รับการยืนยัน

กลไกการคงอยู่ของมัลแวร์ทำให้สามารถอยู่โดยไม่ถูกตรวจพบในระบบที่ติดเชื้อเป็นเวลาหลายปีโดยการเลียนแบบกระบวนการระบบที่ถูกต้องตามกฎหมายและหลีกเลี่ยงการตรวจจับไวรัสแบบดั้งเดิม ทีมข่าวกรองภัยคุกคามของ CrowdStrike ระบุโครงสร้างพื้นฐานการบังคับบัญชาและควบคุมของปฏิบัติการและทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายระหว่างประเทศเพื่อทำแผนที่เครือข่ายของอุปกรณ์ที่ถูกบุกรุกก่อนที่จะดำเนินการรบกวนที่ประสานงาน

สำหรับผู้ใช้คริปโตเคอร์เรนซี การปิดปฏิบัติการ Sality เน้นย้ำถึงความสำคัญอย่างยิ่งของการตรวจสอบแอดเดรสผู้รับก่อนยืนยันธุรกรรม โดยเฉพาะสำหรับการโอนจำนวนมาก ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้ใช้กระเป๋าเงินฮาร์ดแวร์ที่มีการตรวจสอบบนหน้าจอ ซึ่งแสดงแอดเดรสปลายทางเต็มบนอุปกรณ์เองแทนที่จะพึ่งพาข้อมูลคลิปบอร์ดที่อาจถูกบุกรุกจากคอมพิวเตอร์โฮสต์

ต้นกำเนิดของมัลแวร์จากรัสเซียเพิ่มอีกชั้นหนึ่งให้กับความกังวลที่ดำเนินอยู่เกี่ยวกับปฏิบัติการอาชญากรรมไซเบอร์ที่เกี่ยวข้องกับรัฐหรือได้รับการยอมรับจากรัฐซึ่งมุ่งเป้าไปที่ผู้ถือคริปโตเคอร์เรนซี แม้ว่าจะไม่มีการสร้างการเชื่อมโยงกับรัฐบาลโดยตรง แต่อายุขัยของปฏิบัติการบ่งชี้ว่ามันดำเนินการในสภาพแวดล้อมที่อนุญาตซึ่งการขโมยคริปโตเคอร์เรนซีเผชิญกับแรงกดดันจากการบังคับใช้กฎหมายในประเทศน้อยที่สุด

CrowdStrike ได้เผยแพร่ตัวบ่งชี้การบุกรุกและลายเซ็นการตรวจจับเพื่อช่วยทีมรักษาความปลอดภัยอื่นๆ ในการระบุระบบที่ติดเชื้อที่เหลืออยู่ บริษัทแนะนำให้ผู้ใช้คริปโตเคอร์เรนซีทุกคนสแกนอุปกรณ์ของตนด้วยซอฟต์แวร์รักษาความปลอดภัยที่อัปเดตและพิจารณาธุรกรรมใดๆ ที่ทำจากเครื่องที่อาจถูกบุกรุกว่ามีความเสี่ยง โดยเฉพาะอย่างยิ่งหากแอดเดรสกระเป๋าเงินถูกคัดลอกจากคลิปบอร์ดในช่วงหน้าต่างการใช้งานแปดปีของมัลแวร์ Sality