As autoridades norte-americanas de aplicação da lei, em cooperação com a empresa de cibersegurança CrowdStrike e parceiros internacionais, anunciaram uma operação voltada contra o ecossistema do malware Sality — uma cadeia de infecção que, segundo as autoridades, tem sido utilizada por mais de duas décadas para roubar criptomoedas e realizar ataques cibernéticos.
Em um anúncio na terça-feira, o Departamento de Justiça dos EUA (DOJ) disse que interrompeu a botnet Sality e malware relacionado em um esforço internacional envolvendo autoridades búlgaras, húngaras e romenas, além de parceiros do setor privado CrowdStrike e a Shadowserver Foundation. O DOJ vinculou a Sality a atividades de comprometimento de longa duração que remontam a 2003, incluindo a instalação de malware em dispositivos afetados.
Principais conclusões
- O DOJ afirma que a botnet e a infraestrutura de malware Sality foram interrompidas por meio de uma operação internacional coordenada.
- A CrowdStrike relata que o “clipjacking” baseado na área de transferência foi usado para substituir endereços de criptomoedas por endereços controlados por atacantes.
- De acordo com a CrowdStrike, entidades por trás do Sality roubaram pelo menos 12,1 milhões de rublos (cerca de $150.000) nos últimos oito anos.
- As autoridades descreveram uma botnet ponto a ponto com cerca de 15.000 computadores infectados que verificavam periodicamente se os alvos estavam online.
- Durante a operação, os operadores do Sality supostamente perderam a capacidade de se comunicar com máquinas infectadas.
Por que o sequestro da área de transferência importa para a segurança de criptomoedas
O detalhe mais importante no relatório é como o roubo funcionou. A CrowdStrike disse que, nos últimos oito anos, os operadores usaram o EggJagger, uma ferramenta de clipjacking que monitora a área de transferência da vítima em busca de endereços de carteira de criptomoeda e depois os substitui silenciosamente por endereços controlados pelo atacante.
Em termos práticos, o mecanismo visa um comportamento comum do usuário: copiar e colar endereços de carteira ao enviar fundos. Segundo a CrowdStrike, quando uma vítima copia um endereço de Bitcoin ou Ethereum para completar um pagamento, os fundos são redirecionados para o endereço substituído.
Esse tipo de ataque é particularmente danoso porque não exige que a vítima assine transações maliciosas ou interaja com um site falso no momento. Em vez disso, compromete o fluxo da transação no ponto de entrada do endereço—o que significa que usuários que dependem de cópia/colagem da área de transferência podem ser enganados mesmo que nunca interajam conscientemente com prompts de malware ou páginas de phishing.
Alcance e impacto relatado da operação Sality
Em seu relatório sobre a operação de remoção, a CrowdStrike afirmou que a abordagem de clipjacking permitiu o roubo de pelo menos 12,1 milhões de rublos, ou aproximadamente US$ 150.000 em criptomoedas, durante o período descrito. A empresa também destacou que os ativos roubados permaneceram “nunca gastos”, o que significa que os fundos digitais apreendidos não foram posteriormente gastos ou transferidos para outros destinos associados ao atacante no período observado.
Ele também afirmou que o valor desses ativos "nunca gastos" atingiu pico de cerca de US$ 1,5 milhão em janeiro de 2025, dando uma ideia de quão significativos os recursos armazenados poderiam se tornar uma vez que os processos de roubo operacionais estiverem em funcionamento.
Embora a quantia roubada relatada e a avaliação máxima descrevam apenas o que a CrowdStrike observou em sua análise, elas ajudam a esclarecer por que interromper os canais de comunicação da botnet é tão importante: se os operadores não conseguirem controlar ou manter as infecções de forma confiável, sua capacidade de acionar substituições de endereços e coletar fundos diminui.
Como a botnet funcionava — e o que a interrupção mudou
Autoridades dos EUA e a CrowdStrike descreveram o Sality como uma botnet ponto a ponto. Segundo a empresa, cerca de 15.000 computadores infectados faziam parte dessa rede, que verificava se os sistemas estavam online a cada 40 minutos. Essa conectividade periódica ajudou a garantir que os operadores do malware pudessem manter visibilidade sobre o status da infecção e, sempre que possível, continuar operações maliciosas.
Após os esforços das autoridades, a CrowdStrike disse que os criminosos “perderam a capacidade de se comunicar com máquinas infectadas”. Em operações de botnets, essa perda é frequentemente decisiva: mesmo que dispositivos infectados permaneçam no local temporariamente, remover as comunicações de comando e controle reduz a capacidade do malware de coordenar, atualizar e executar suas funções mais lucrativas.
O anúncio do DOJ apresentou a interrupção como parte de uma desmantelamento mais amplo do malware Sality e da infraestrutura de botnet associada a ele, e não apenas como a remoção de infecções individuais. Para usuários de cripto, a principal lição é que essas campanhas podem persistir por longos períodos — o DOJ afirmou que o Sality era responsável por instalar malware em dispositivos comprometidos desde 2003 —, portanto, ações de aplicação da lei e interrupções técnicas são cruciais para reduzir a superfície operacional dos atacantes.
O que os investidores e usuários devem observar a seguir
Essa remoção destaca como campanhas de roubo de criptomoedas estão cada vez mais combinando distribuição de malware com ataques ao fluxo de trabalho humano, como sequestro de área de transferência. Os usuários devem tratar a substituição de endereços baseada na área de transferência como uma ameaça real — especialmente ao enviar fundos de Bitcoin ou Ethereum — e considerar validar endereços de destinatários por meio de métodos fora da banda (por exemplo, verificando um endereço colado contra uma fonte confiável ou usando etapas de verificação no software da carteira).
Olhando para frente, a questão em aberto é como os atacantes se adaptarão se sua capacidade de se comunicar com máquinas infectadas for reduzida. Os leitores devem ficar atentos a variantes subsequentes de malware, novas ferramentas de sequestro de área de transferência ou mudanças mais amplas na forma como os criminosos mantêm acesso aos dispositivos das vítimas à medida que a interrupção da infraestrutura Sality se espalha pelas operações criminosas.
Este artigo foi originalmente publicado como Funcionários dos EUA se coordenam com a CrowdStrike para combater malware de roubo de criptomoedas em Crypto Breaking News – sua fonte confiável para notícias de criptomoedas, notícias de Bitcoin e atualizações de blockchain.