CrowdStrike e as autoridades policiais derrubam botnet russa de cryptojacking Sality com 20 anos de idade

Segundo relato da CoinDesk, a empresa norte-americana de cibersegurança CrowdStrike, em cooperação com agências federais de aplicação da lei, conseguiu desmantelar a botnet russa Sality, que operava há mais de 20 anos. Durante quase oito anos, essa botnet continuou a roubar criptomoedas por meio de "sequestro de área de transferência" — seu payload principal, "EggJagger", permanecia oculto nos dispositivos infectados, monitorando a área de transferência do usuário e substituindo endereços de carteiras de Bitcoin ou Ethereum pelos endereços dos atacantes, fazendo com que as vítimas realizassem transferências sem perceber. A Sality utiliza uma arquitetura descentralizada P2P, sem servidor central, verificando o status dos nós a cada 40 minutos e propagando-se automaticamente por meio de unidades de rede compartilhadas e dispositivos USB. A CrowdStrike explorou uma vulnerabilidade de autenticação para substituir os endereços dos nós reais por servidores próprios, conseguindo desconectar mais de 15.000 máquinas infectadas. A ação foi demonstrada ao vivo durante a conferência Day Zero em Las Vegas. Estima-se que os atacantes tenham roubado pelo menos 12,1 milhões de rublos (cerca de 150 mil dólares) ao longo de oito anos. Parte dos ativos criptográficos não utilizados aumentou de valor com a alta do mercado, atingindo cerca de 1,35 milhão de dólares no início de 2025. Profissionais de segurança recomendam que os usuários verifiquem sempre os caracteres iniciais e finais de qualquer endereço de carteira após colar, para se proteger contra esse tipo de ataque.