CrowdStrike та федеральні органи ліквідували шкідливе ПЗ Sality після 8 років крадіжок криптовалюти

Російське шкідливе ПЗ Sality, яке таємно перехоплювало та підміняло адреси криптовалютних гаманців протягом восьми років, було нейтралізовано, ізольовано понад 15 000 заражених пристроїв під час скоординованої операції.

CrowdStrike та федеральні правоохоронні органи успішно зупинили складну російську операцію зі шкідливим ПЗ, яка крала криптовалюту у нічого не підозрюючих жертв протягом восьми років. Шкідлива програма Sality працювала, відстежуючи активність буфера обміну та замінюючи скопійовані адреси Bitcoin та Ethereum на гаманці, контрольовані зловмисниками, що дозволяло злочинцям перехоплювати транзакції до того, як користувачі могли виявити підміну.

Скоординована ліквідація ізолювала понад 15 000 заражених машин по всьому світу, що стало значною перемогою проти однієї з найдовших операцій з крадіжки криптовалюти в екосистемі цифрових активів. Дослідники безпеки оцінюють, що шкідливе ПЗ могло перенаправити мільйони доларів у криптовалюті за час свого існування, хоча точні цифри залишаються під слідством, оскільки влада продовжує відстежувати вкрадені кошти.

Техніка перехоплення буфера обміну Sality являє собою особливо підступний вектор атаки, оскільки експлуатує звичну поведінку користувачів криптовалюти з копіюванням та вставкою. Коли жертви копіювали легітимну адресу гаманця для відправки коштів, шкідливе ПЗ миттєво замінювало її на адресу зловмисника в пам'яті буфера обміну. Більшість користувачів ніколи не помічали підміни, оскільки адреси криптовалютних гаманців є довгими буквено-цифровими рядками, які рідко перевіряються посимвольно перед підтвердженням транзакцій.

Механізм стійкості шкідливого ПЗ дозволяв йому залишатися невиявленим у заражених системах роками, імітуючи легітимні системні процеси та уникаючи традиційного антивірусного виявлення. Команда аналізу загроз CrowdStrike ідентифікувала інфраструктуру командування та контролю операції та працювала з міжнародними правоохоронними органами для картування мережі скомпрометованих пристроїв перед виконанням скоординованого припинення.

Для користувачів криптовалюти ліквідація Sality підкреслює критичну важливість перевірки адрес одержувачів перед підтвердженням транзакцій, особливо для великих переказів. Експерти з безпеки рекомендують використовувати апаратні гаманці з екранною перевіркою, які відображають повну адресу призначення на самому пристрої, а не покладатися на потенційно скомпрометовані дані буфера обміну з головного комп'ютера.

Російське походження шкідливого ПЗ додає ще один рівень до триваючих занепокоєнь щодо пов'язаних з державою або толерованих державою кіберзлочинних операцій, спрямованих на власників криптовалюти. Хоча прямого зв'язку з урядом не встановлено, тривалість операції свідчить про те, що вона працювала в дозвільному середовищі, де крадіжка криптовалюти стикалася з мінімальним тиском внутрішніх правоохоронних органів.

CrowdStrike оприлюднила індикатори компрометації та сигнатури виявлення, щоб допомогти іншим командам безпеки ідентифікувати інші заражені системи. Компанія радить усім користувачам криптовалюти просканувати свої пристрої оновленим програмним забезпеченням безпеки та розглядати будь-які транзакції, здійснені з потенційно скомпрометованих машин, як ризиковані, особливо якщо адреси гаманців копіювалися з буфера обміну протягом восьмирічного операційного вікна шкідливого ПЗ Sality.