Pejabat AS Mengganggu Botnet Sality bersama CrowdStrike untuk Melawan Pencurian Kripto

Penegak hukum federal AS, bekerja sama dengan perusahaan siber CrowdStrike dan mitra internasional, mengumumkan operasi yang menargetkan ekosistem malware Sality—rantai infeksi yang menurut otoritas telah digunakan selama lebih dari dua dekade untuk mencuri mata uang kripto dan melakukan serangan siber.

Dalam pengumuman pada hari Selasa, Departemen Kehakiman AS (DOJ) mengatakan bahwa mereka mengganggu botnet Sality dan malware terkait dalam upaya internasional yang melibatkan pejabat dari Bulgaria, Hongaria, dan Rumania, serta mitra sektor swasta CrowdStrike dan Shadowserver Foundation. DOJ menghubungkan Sality dengan aktivitas kompromi jangka panjang yang berawal sejak tahun 2003, termasuk pemasangan malware pada perangkat yang terdampak.

• DOJ mengatakan botnet dan infrastruktur malware Sality telah digagalkan melalui operasi internasional yang terkoordinasi.
• CrowdStrike melaporkan bahwa “clipjacking” berbasis clipboard digunakan untuk mengganti alamat mata uang kripto dengan alamat yang dikendalikan penyerang.
• Menurut CrowdStrike, entitas di balik Sality mencuri setidaknya 12,1 juta rubel (sekitar $150.000) selama delapan tahun terakhir.
• Otoritas menggambarkan botnet peer-to-peer sekitar 15.000 komputer yang terinfeksi yang secara berkala memeriksa apakah target sedang online.
• Selama operasi, operator Sality dilaporkan kehilangan kemampuan untuk berkomunikasi dengan mesin yang terinfeksi.

Detail paling penting dalam pelaporan adalah bagaimana pencurian tersebut dilakukan. CrowdStrike mengatakan bahwa dalam delapan tahun sebelumnya, pelaku menggunakan EggJagger, alat clipjacking yang memantau clipboard korban untuk mencari alamat dompet mata uang kripto, lalu secara diam-diam menggantinya dengan alamat yang dikendalikan oleh penyerang.

Dalam praktiknya, mekanisme ini menargetkan perilaku pengguna umum: menyalin dan menempel alamat dompet saat mengirim dana. Menurut CrowdStrike, ketika korban menyalin alamat Bitcoin atau Ethereum untuk menyelesaikan pembayaran, dana akan dialihkan ke alamat yang telah diganti.

Jenis serangan ini sangat merusak karena tidak memerlukan korban untuk menandatangani transaksi jahat atau berinteraksi dengan situs web palsu pada saat itu. Sebaliknya, serangan ini mengompromikan alur transaksi pada titik masuk alamat—artinya pengguna yang mengandalkan salin/tempel clipboard dapat ditipu bahkan jika mereka tidak pernah secara sadar berinteraksi dengan prompt malware atau halaman phishing.

Dalam laporannya tentang pembongkaran tersebut, CrowdStrike mengatakan bahwa pendekatan clipjacking memungkinkan pencurian setidaknya 12,1 juta rubel, atau sekitar $150.000 dalam mata uang kripto, selama periode yang dijelaskan. Perusahaan tersebut juga menekankan bahwa aset yang dicuri tetap "tidak pernah dihabiskan," artinya dana digital yang disita tidak kemudian dihabiskan atau dipindahkan dari tujuan yang terkait penyerang dalam periode yang diamati.

Selanjutnya dinyatakan bahwa nilai aset-aset "tidak pernah dihabiskan" ini mencapai puncaknya sekitar $1,5 juta pada Januari 2025, memberikan gambaran seberapa signifikan hasil yang disimpan bisa menjadi begitu proses pencurian operasional berjalan.

Meskipun jumlah pencurian yang dilaporkan dan valuasi puncak hanya menggambarkan apa yang diamati CrowdStrike dalam analisisnya, keduanya membantu menjelaskan mengapa mengganggu saluran komunikasi botnet sangat penting: jika operator tidak dapat mengendalikan atau mempertahankan infeksi dengan andal, kemampuan mereka untuk memicu substitusi alamat dan mengumpulkan dana berkurang.

Pejabat AS dan CrowdStrike keduanya menggambarkan Sality sebagai botnet peer-to-peer. Menurut perusahaan, sekitar 15.000 komputer yang terinfeksi merupakan bagian dari jaringan ini, yang memeriksa apakah sistem online setiap 40 menit. Konektivitas berkala ini membantu memastikan operator malware dapat mempertahankan visibilitas terhadap status infeksi dan, bila memungkinkan, melanjutkan operasi jahat.

Setelah upaya otoritas, CrowdStrike mengatakan para penjahat “kehilangan kemampuan untuk berkomunikasi dengan mesin yang terinfeksi.” Dalam operasi botnet, kehilangan ini sering kali menentukan: bahkan jika perangkat yang terinfeksi tetap berada di tempatnya secara sementara, menghilangkan komunikasi command-and-control mengurangi kemampuan malware untuk mengoordinasikan, memperbarui, dan menjalankan fungsi-fungsi paling menguntungkannya.

Pengumuman DOJ menggambarkan gangguan ini sebagai bagian dari gangguan lebih luas terhadap malware Sality dan infrastruktur botnet yang terkait dengannya, bukan hanya penghapusan infeksi individu. Bagi pengguna kripto, poin utamanya adalah kampanye-kampanye ini dapat berlangsung dalam jangka waktu lama—DOJ menyatakan Sality bertanggung jawab atas pemasangan malware pada perangkat yang terkompromi sejak 2003—sehingga tindakan penegakan hukum dan gangguan teknis sangat penting untuk memperkecil ruang operasional penyerang.

Pengambilan ini menyoroti bagaimana kampanye pencurian mata uang kripto semakin menggabungkan distribusi malware dengan serangan terhadap alur kerja manusia seperti pembajakan clipboard. Pengguna harus memperlakukan substitusi alamat berbasis clipboard sebagai ancaman nyata—terutama saat mengirim dana Bitcoin atau Ethereum—dan mempertimbangkan untuk memvalidasi alamat penerima melalui metode di luar saluran (misalnya, memeriksa alamat yang disalin dengan sumber tepercaya atau menggunakan langkah verifikasi dalam perangkat lunak dompet).

Melihat ke depan, pertanyaan terbuka adalah bagaimana penyerang beradaptasi jika kemampuan mereka untuk berkomunikasi dengan mesin yang terinfeksi dibatasi. Pembaca harus mengawasi varian malware lanjutan, alat baru pencurian clipboard, atau perubahan lebih luas dalam cara para penjahat mempertahankan akses ke perangkat korban seiring gangguan infrastruktur Sality merambat melalui operasi kriminal.

Artikel ini awalnya diterbitkan sebagai Pejabat AS Berkoordinasi Dengan CrowdStrike untuk Mengatasi Perangkat Lunak Jahat Pencurian Kripto di Crypto Breaking News – sumber tepercaya Anda untuk berita kripto, berita Bitcoin, dan pembaruan blockchain.