CrowdStrike e agências federais derrubam malware russo que roubava criptomoedas por 8 anos

Mars Finance relata que a empresa norte-americana de cibersegurança CrowdStrike, em conjunto com agências federais de aplicação da lei, destruiu recentemente a botnet de malware de origem russa Sality. O malware, em operação desde 2003, durante os últimos oito anos vem sequestrando pagamentos de criptomoedas nos computadores infectados. Seu payload principal, chamado EggJagger, monitora a área de transferência e, ao detectar texto semelhante a endereços de Bitcoin ou Ethereum, substitui-o por um endereço controlado pelos atacantes. As vítimas, ao colar o endereço para transferência, enviam involuntariamente seus fundos aos atacantes sem perceber. O Sality não possui um servidor centralizável; os dispositivos infectados se comunicam diretamente entre si, verificando a disponibilidade dos pares a cada 40 minutos e propagando-se por meio de compartilhamentos de rede e pendrives. A CrowdStrike explorou uma vulnerabilidade nesse mecanismo, substituindo seus servidores por endereços de pares reais, desconectando mais de 15 mil dispositivos infectados da rede. A operação foi demonstrada ao vivo na CrowdStrike Day Zero Summit, realizada em Las Vegas na segunda-feira, e o Departamento de Justiça dos EUA afirmou que a ação foi baseada em informações relacionadas à Rússia. A CrowdStrike estima que os atacantes roubaram pelo menos 12,1 milhões de rublos (cerca de US$ 150 mil) durante os oito anos, sendo que a maioria das criptomoedas não foi movimentada; com a alta dos preços, o valor desses ativos não gastos atingiu cerca de US$ 1,35 milhão no início de 2025. As autoridades recomendam aos usuários que verifiquem os caracteres inicial e final dos endereços de criptomoeda após colá-los, para evitar esse tipo de ataque de sequestro de área de transferência.