CrowdStrike et les agences fédérales démantèlent un malware russe volant des crypto-monnaies depuis 8 ans

Selon Mars Finance, la société américaine de cybersécurité CrowdStrike, en collaboration avec les autorités fédérales, a récemment démantelé le réseau zombie de logiciels malveillants Sality d'origine russe. Ce logiciel malveillant, actif depuis 2003, a continué pendant huit ans à intercepter les paiements en cryptomonnaies sur les ordinateurs infectés. Son charge utile principale, appelée EggJagger, surveille le presse-papiers et, dès qu'il détecte un texte correspondant à une adresse Bitcoin ou Ethereum, le remplace par une adresse contrôlée par les attaquants. Les victimes transfèrent ainsi involontairement leurs fonds aux attaquants lorsqu'elles collent une adresse. Sality ne possède aucun serveur centralisable ; les appareils infectés communiquent directement entre eux, vérifiant toutes les 40 minutes la disponibilité des nœuds pairs et se propageant via le partage réseau et les clés USB. CrowdStrike a exploité une faille de sécurité dans ce mécanisme pour remplacer les serveurs par de véritables adresses pairs, coupant ainsi la connexion de plus de 15 000 appareils infectés. Cette opération a été démontrée en direct lors du sommet CrowdStrike Day Zero à Las Vegas lundi. Le Département de la Justice américain a indiqué que cette action était fondée sur des preuves liées à la Russie. CrowdStrike estime que les attaquants ont volé au moins 12,1 millions de roubles (environ 150 000 dollars américains) au cours de ces huit années ; la majorité de ces cryptomonnaies n'ont pas été dépensées et, avec la hausse des prix, leur valeur a atteint environ 1,35 million de dollars début 2025. Les autorités recommandent aux utilisateurs de vérifier les premiers et derniers caractères d'une adresse cryptomonnaie après l'avoir collée afin d'éviter ce type d'attaque par usurpation du presse-papiers.