CrowdStrike và Cơ quan Liên bang Triệt phá Phần mềm Độc hại Sality Sau 8 Năm Đánh cắp Tiền điện tử

Phần mềm độc hại Sality có nguồn gốc từ Nga đã bí mật chặn và thay thế địa chỉ tiền điện tử trong tám năm đã bị vô hiệu hóa, với hơn 15.000 máy bị nhiễm được cách ly trong hoạt động phối hợp.

CrowdStrike và các cơ quan thực thi pháp luật liên bang đã thành công trong việc phá vỡ một hoạt động phần mềm độc hại tinh vi của Nga đã đánh cắp tiền điện tử từ các nạn nhân không hề hay biết trong tám năm. Phần mềm độc hại Sality hoạt động bằng cách giám sát hoạt động clipboard và thay thế các địa chỉ Bitcoin và Ethereum đã sao chép bằng ví do kẻ tấn công kiểm soát, cho phép tội phạm chặn các giao dịch trước khi người dùng có thể phát hiện ra sự hoán đổi.

Cuộc triệt phá phối hợp đã cách ly hơn 15.000 máy bị nhiễm trên toàn thế giới, đánh dấu một chiến thắng quan trọng chống lại một trong những hoạt động trộm cắp tiền điện tử kéo dài nhất trong hệ sinh thái tài sản kỹ thuật số. Các nhà nghiên cứu bảo mật ước tính phần mềm độc hại có thể đã chuyển hướng hàng triệu đô la tiền điện tử trong suốt thời gian hoạt động, mặc dù con số chính xác vẫn đang được điều tra khi các cơ quan chức năng tiếp tục theo dõi số tiền bị đánh cắp.

Kỹ thuật cướp clipboard của Sality đại diện cho một vector tấn công đặc biệt nguy hiểm vì nó khai thác hành vi sao chép-dán thông thường của người dùng tiền điện tử. Khi nạn nhân sao chép một địa chỉ ví hợp pháp để gửi tiền, phần mềm độc hại sẽ ngay lập tức thay thế nó bằng địa chỉ của kẻ tấn công trong bộ nhớ clipboard. Hầu hết người dùng không bao giờ nhận ra sự hoán đổi, vì địa chỉ tiền điện tử là các chuỗi chữ và số dài hiếm khi được xác minh từng ký tự trước khi giao dịch được xác nhận.

Cơ chế bền vững của phần mềm độc hại cho phép nó vẫn không bị phát hiện trên các hệ thống bị nhiễm trong nhiều năm bằng cách bắt chước các quy trình hệ thống hợp pháp và tránh phát hiện chống vi-rút truyền thống. Nhóm tình báo mối đe dọa của CrowdStrike đã xác định cơ sở hạ tầng chỉ huy và kiểm soát của hoạt động và làm việc với cơ quan thực thi pháp luật quốc tế để lập bản đồ mạng lưới các thiết bị bị xâm phạm trước khi thực hiện gián đoạn phối hợp.

Đối với người dùng tiền điện tử, việc triệt phá Sality nhấn mạnh tầm quan trọng thiết yếu của việc xác minh địa chỉ người nhận trước khi xác nhận giao dịch, đặc biệt đối với các giao dịch chuyển lớn. Các chuyên gia bảo mật khuyến nghị sử dụng ví phần cứng với xác minh màn hình, hiển thị địa chỉ đích đầy đủ trên chính thiết bị thay vì dựa vào dữ liệu clipboard có khả năng bị xâm phạm từ máy tính chủ.

Nguồn gốc Nga của phần mềm độc hại bổ sung thêm một lớp cho mối lo ngại liên tục về các hoạt động tội phạm mạng liên kết với nhà nước hoặc được nhà nước dung túng nhắm vào người nắm giữ tiền điện tử. Mặc dù không có kết nối chính phủ trực tiếp nào được thiết lập, tuổi thọ của hoạt động cho thấy nó hoạt động trong môi trường cho phép nơi trộm cắp tiền điện tử đối mặt với áp lực thực thi pháp luật trong nước tối thiểu.

CrowdStrike đã phát hành các chỉ báo xâm phạm và chữ ký phát hiện để giúp các nhóm bảo mật khác xác định các hệ thống bị nhiễm còn lại. Công ty khuyên tất cả người dùng tiền điện tử quét thiết bị của họ bằng phần mềm bảo mật cập nhật và coi bất kỳ giao dịch nào được thực hiện từ các máy có khả năng bị xâm phạm là có rủi ro, đặc biệt nếu địa chỉ ví được sao chép từ clipboard trong cửa sổ hoạt động tám năm của phần mềm độc hại Sality.