CrowdStrike и федеральные агентства ликвидировали российский вредоносный код, кравший криптовалюту в течение 8 лет

По сообщению Mars Finance, американская кибербезопасная компания CrowdStrike совместно с федеральными правоохранительными органами недавно разрушила зловредную ботнет-сеть Sality с российской принадлежностью. Этот вредоносный программный код функционировал с 2003 года и в течение последних восьми лет систематически перехватывал криптовалютные платежи на заражённых компьютерах. Его основной модуль, известный как EggJagger, отслеживает буфер обмена и, обнаружив текст, похожий на адреса биткоина или эфира, заменяет его на адрес, контролируемый злоумышленниками. Жертвы, вставляя адрес для перевода, неосознанно отправляют средства злоумышленникам. Sality не имеет централизованного сервера, который можно было бы конфисковать; заражённые устройства общаются напрямую, проверяя доступность одноранговых узлов каждые 40 минут и распространяясь через сетевые общие ресурсы и USB-накопители. CrowdStrike использовала уязвимость в этом механизме, заменив сервер на настоящие одноранговые адреса, тем самым отключив более 15 000 заражённых устройств от сети. Эта операция была продемонстрирована в прямом эфире на конференции CrowdStrike Day Zero в Лас-Вегасе в понедельник. Министерство юстиции США заявило, что операция была проведена на основании данных о российском происхождении. CrowdStrike оценивает, что злоумышленники похитили как минимум 12,1 млн рублей (около 150 000 долларов США) за восемь лет; большая часть криптовалюты до сих пор не была потрачена, и с ростом цен на активы стоимость этих неиспользованных средств в начале 2025 года достигла примерно 1,35 млн долларов США. Официальные лица рекомендуют пользователям проверять первые и последние символы криптовалютного адреса после вставки, чтобы избежать подобных атак с перехватом буфера обмена.