La perturbation du botnet Sality du 31 août a coupé la capacité de son opérateur à délivrer de nouveaux logiciels malveillants aux ordinateurs infectés, tandis que les logiciels malveillants déjà présents sur ces appareils restaient actifs, selon CrowdStrike's Sept. 1 report. Les utilisateurs des machines infectées doivent toujours supprimer les logiciels malveillants installés, y compris un outil qui remplace les adresses de cryptomonnaie et peut rediriger les paiements.
CrowdStrike a déclaré que le botnet a permis la distribution de charges utiles à plus de 33 000 machines infectées dans le monde entier. Ce chiffre correspond aux ordinateurs compromis ; le nombre d'utilisateurs ayant perdu des cryptomonnaies n'est pas précisé.
Le Department de la Justice a annoncé l'opération multinationale le 1er septembre 2026, après l'action de la veille. Les autorités américaines ont saisi des domaines liés à Sality, tandis que des partenaires en Bulgarie, en Hongrie et en Roumanie ont agi contre des domaines supplémentaires.
Comment le risque de paiement survit
CrowdStrike a identifié EggJagger comme charge utile principale de Sality au cours des huit dernières années. L'outil surveille le presse-papiers à la recherche d'adresses de cryptomonnaies et les remplace par des adresses contrôlées par l'opérateur, y compris lorsqu'une personne copie une adresse bitcoin ou ethereum pour un paiement.
L'étape dangereuse consiste à envoyer vers l'adresse substituée. Un utilisateur peut avoir l'intention de payer le destinataire correct, mais coller une autre destination dans le formulaire de paiement. La redirection prend effet si l'utilisateur envoie des fonds vers cette destination.
Les logiciels de substitution d'adresse déjà installés sur un ordinateur peuvent continuer à fonctionner après la coupure des communications de Sality. Les utilisateurs ayant une infection confirmée doivent donc toujours faire supprimer le malware de leurs appareils.
CrowdStrike décrit Sality comme un infecteur de fichiers : il s'attache aux fichiers exécutables et se propage via les partages réseau, les lecteurs amovibles et le partage de fichiers. Ces fichiers infectés constituent un problème distinct des connexions réseau perturbées par l'opération.
La perturbation a modifié les listes de pairs utilisées par les machines infectées pour communiquer, les isolant de l'opérateur et remplaçant les serveurs par des serveurs contrôlés par les défenseurs, appelés sinkholes. CrowdStrike a indiqué que les bots isolés ne pouvaient plus recevoir d'instructions de téléchargement de charge utile ni de transferts directs de fichiers malveillants. Les partenaires ont également supprimé les URL hébergeant les charges utiles.
Pour les opérateurs de réseau, CrowdStrike recommande de vérifier les journaux réseau et la télémétrie des appareils à la recherche de trafic UDP vers son adresse phare, 188.166.101[.]148. L'entreprise indique qu'une correspondance indique une infection Sality nécessitant une correction. Son rapport technique fournit également des règles de détection YARA pour analyser les processus en cours d'exécution.
Le Département de la Justice a déclaré que la Shadowserver Foundation collabore avec des fournisseurs de services Internet et des équipes de réponse aux incidents de sécurité informatique pour identifier les infections, aider à informer les utilisateurs concernés et soutenir la remédiation.
Pour les utilisateurs d'ordinateurs infectés, la remédiation traite le malware pouvant encore remplacer une adresse de paiement copiée. La perturbation du botnet seule laisse cette menace locale en place.
L'article Les adresses crypto actives « attaque par copier-coller » menacent les utilisateurs même après un nettoyage majeur des logiciels malveillants qui a coupé les pirates est apparu en premier sur CryptoSlate.