Власти США и CrowdStrike нарушили работу ботнета Sality, похитившего $150 000 в криптовалюте

Министерство юстиции США заявило, что международная операция с участием европейских правоохранительных органов и частных партнеров нарушала деятельность Sality, отключив вредоносную сеть от ее оператора. Sality была связана с кражами криптовалюты и другими кибератаками.

Министерство юстиции сообщило во вторник, что власти Болгарии, Венгрии и Румынии приняли участие в этой операции вместе с CrowdStrike и Фондом Shadowserver. Согласно данным американских чиновников, с 2003 года сеть вредоносного ПО заражала устройства и развертывала вредоносное программное обеспечение.

За последние восемь лет оператор Sality использовал инструмент clipjacking под названием EggJagger, чтобы украсть как минимум 12,1 миллиона рублей, что эквивалентно примерно 150 000 долларов США в криптовалюте, согласно CrowdStrike.

EggJagger отслеживал буфер обмена устройств на предмет адресов криптовалютных кошельков и заменял их на адреса, контролируемые оператором. В результате платежи могли перенаправляться, когда жертвы копировали адреса bitcoin или ethereum перед осуществлением переводов.

CrowdStrike сообщила, что стоимость похищенных цифровых активов, оставшихся неизрасходованными, достигла пика в около 147 миллионов рублей, или примерно 1,35 миллиона долларов США, в январе 2025 года.

Согласно CrowdStrike, операция нарушила возможность оператора Sality взаимодействовать с скомпрометированными машинами.

Более 15 000 зараженных компьютеров входили в пир-ту-пир ботнет Sality. Боты проверяли каждые 40 минут, остаются ли известные узлы в сети онлайн, что позволяло машинам в децентрализованной сети напрямую взаимодействовать друг с другом.

CrowdStrike заявила, что сбой изолировал заражённые машины от оператора, препятствуя получению новых инструкций по загрузке или прямым переводам загрузки.