CrowdStrike и федеральные агентства ликвидировали 8-летний российский вредоносный код для кражи криптовалюты

ChainCatcher сообщает, что американская кибербезопасная компания CrowdStrike совместно с федеральными правоохранительными органами недавно разрушила вредоносную ботнет-сеть Sality российского происхождения. Вредоносная программа функционировала с 2003 года и в течение последних восьми лет систематически перехватывала криптовалютные платежи на заражённых компьютерах. Её основной нагрузкой является EggJagger, который отслеживает буфер обмена и, обнаружив текст, похожий на адреса биткоина или эфира, заменяет его на адрес, контролируемый злоумышленниками. Жертвы, вставляя адрес для перевода, неосознанно отправляют средства злоумышленникам. Sality не имеет централизованного сервера, который можно было бы арестовать: заражённые устройства общаются напрямую, каждые 40 минут проверяют доступность одноранговых узлов и распространяются через сетевые общие ресурсы и USB-накопители. CrowdStrike использовала уязвимость в этом механизме, заменив сервер на настоящие одноранговые адреса, тем самым отключив более 15 000 заражённых устройств от сети. Эта операция была продемонстрирована в прямом эфире на конференции CrowdStrike Day Zero в Лас-Вегасе в понедельник. Министерство юстиции США заявило, что операция была проведена на основании информации о России. CrowdStrike оценивает, что злоумышленники за восемь лет похитили как минимум 12,1 млн рублей (около 150 000 долларов США), причём большая часть криптовалюты оставалась неиспользованной. По мере роста цен на активы стоимость этих неизрасходованных средств в начале 2025 года достигла примерно 1,35 млн долларов США. Официальные лица рекомендуют пользователям проверять первые и последние символы криптовалютного адреса после вставки, чтобы избежать подобных атак с перехватом буфера обмена.