CrowdStrike和联邦机构捣毁在8年间窃取加密货币的Sality恶意软件

源自俄罗斯的Sality恶意软件在八年间秘密拦截和替换加密货币地址，现已被中和，在协调行动中隔离了超过15,000台受感染设备。

CrowdStrike和联邦执法机构成功瓦解了一个复杂的俄罗斯恶意软件行动，该行动在八年间从毫无戒心的受害者那里窃取加密货币。Sality恶意软件通过监控剪贴板活动并用攻击者控制的钱包替换复制的比特币和以太坊地址来运作，使犯罪分子能够在用户检测到替换之前拦截交易。

协调的取缔行动在全球范围内隔离了超过15,000台受感染机器，标志着对数字资产生态系统中运行时间最长的加密货币盗窃行动之一的重大胜利。安全研究人员估计，该恶意软件在其运营期间可能转移了数百万美元的加密货币，尽管确切数字仍在调查中，因为当局继续追踪被盗资金。

Sality的剪贴板劫持技术是一种特别阴险的攻击载体，因为它利用了加密货币用户的常规复制粘贴行为。当受害者复制合法钱包地址以发送资金时，恶意软件会立即在剪贴板内存中用攻击者的地址替换它。大多数用户从未注意到替换，因为加密货币地址是很长的字母数字字符串，在确认交易之前很少逐个字符验证。

该恶意软件的持久性机制使其能够通过模仿合法系统进程和逃避传统杀毒软件检测，在受感染系统上多年未被发现。CrowdStrike的威胁情报团队识别了该行动的指挥控制基础设施，并与国际执法部门合作绘制受损设备网络图，然后执行协调破坏。

对于加密货币用户来说，Sality的取缔强调了在确认交易之前验证收件人地址的关键重要性，特别是对于大额转账。安全专家建议使用带屏幕验证的硬件钱包，它在设备本身上显示完整的目标地址，而不是依赖主机计算机可能受损的剪贴板数据。

该恶意软件的俄罗斯来源为持续关注针对加密货币持有者的国家关联或国家容忍的网络犯罪行动增添了另一层。虽然尚未建立直接的政府联系，但该行动的长寿命表明它在一个宽容的环境中运作，在那里加密货币盗窃面临最小的国内执法压力。

CrowdStrike已发布入侵指标和检测签名，以帮助其他安全团队识别剩余的受感染系统。该公司建议所有加密货币用户使用更新的安全软件扫描其设备，并将从可能受损机器进行的任何交易视为有风险，特别是如果钱包地址是在Sality恶意软件八年运营窗口期间从剪贴板复制的。