Американські органи та CrowdStrike припинили діяльність ботнету Sality, вкравши $150 000 у криптовалюті

Міністерство юстиції США повідомило, що міжнародна операція з участью європейських правоохоронних органів та партнерів з приватного сектору призупинила діяльність Sality, відключивши мережу шкідливого програмного забезпечення від її оператора. Sality пов’язували з крадіжками криптовалют та іншими кібератаками.

Міністерство юстиції повідомило у вівторок, що органи Болгарії, Угорщини та Румунії взяли участь у цьому заході разом із CrowdStrike та Фондом Shadowserver. За даними американських чиновників, мережа шкідливого програмного забезпечення заражала пристрої та розгортала шкідливе програмне забезпечення з 2003 року.

За останні вісім років оператор Sality використовував інструмент clipjacking під назвою EggJagger, щоб вкрасти щонайменше 12,1 мільйона рублів, що дорівнює приблизно 150 000 доларів США у криптовалюті, за даними CrowdStrike.

EggJagger моніторив буфер обміну пристроїв на наявність адрес гаманців криптовалют і замінював їх на адреси, що перебувають під контролем оператора. Як наслідок, платежі могли бути перенаправлені, коли жертви копіювали адреси bitcoin або ethereum перед здійсненням переказів.

CrowdStrike зазначила, що вартість вкрадених цифрових активів, які залишилися невитраченими, досягла піку в близько 147 мільйонів рублів, або приблизно 1,35 мільйона доларів США, у січні 2025 року.

Операція припинила здатність оператора Sality спілкуватися з уразливими машинами, згідно з CrowdStrike.

Більше 15 000 заражених комп’ютерів були частиною пір-до-пір ботнету Sality. Боти перевіряли кожні 40 хвилин, чи залишаються відомі вузли онлайн, що дозволяло машинам у децентралізованій мережі спілкуватися безпосередньо одна з одною.

CrowdStrike сказала, що перебої ізольовали заражені пристрої від оператора, запобігаючи отриманню нових інструкцій завантаження або прямих переказів завантаження.