Le DOJ annonce l'interruption du botnet Sality lié à…
CrowdStrike a estimé environ 150 000 $ volés sur huit ans, tandis que les avoirs "jamais dépensés" ont atteint un pic d'environ 1,5 million de dollars en janvier 2025.
Le département américain de la Justice a déclaré avoir perturbé le botnet Sality dans le cadre d'un effort international avec des responsables bulgares, hongrois et roumains, ainsi que CrowdStrike et la Shadowserver Foundation.
CrowdStrike a lié les opérateurs de Sality à EggJagger, un outil de détournement de presse-papiers, qu'il estime avoir volé environ 150 000 $ en crypto, avec des avoirs volés « jamais dépensés » atteignant environ 1,5 million de dollars en janvier 2025.
Le DOJ et ses partenaires déclarent que le botnet Sality a été perturbé.
Le département américain de la Justice a déclaré le 2 septembre qu'il avait perturbé le botnet Sality et l'écosystème de logiciels malveillants lors d'une opération internationale impliquant des responsables en Bulgarie, en Hongrie et en Roumanie, ainsi que des partenaires du secteur privé, CrowdStrike et la Shadowserver Foundation.
L'action cible une famille de logiciels malveillants de longue date que les responsables américains ont déclaré avoir été installée sur des appareils compromis depuis 2003 et qui a été utilisée à la fois pour le vol de crypto et pour des cyberattaques plus larges.
CrowdStrike a décrit le botnet comme étant de pair à pair, avec environ 15 000 ordinateurs infectés vérifiant si les systèmes étaient en ligne toutes les 40 minutes, un choix de conception qui tend à échanger la simplicité contre la résilience car il n'y a pas de serveur de commande évident unique.
Le résultat le plus concret décrit jusqu'à présent est une perte de contrôle des opérateurs plutôt qu'une revendication d'éradication complète.
CrowdStrike a déclaré que les criminels derrière Sality « ont perdu la capacité de communiquer avec les machines infectées » en raison des efforts de perturbation des autorités, mais le rapport ne contient pas de détails sur les arrestations, les inculpations, les saisies d'infrastructure ou sur la mise en place d'un quelconque sinkholing ou d'une remédiation à long terme pour empêcher la reconstitution.
EggJagger Clipjacking : Comment les échanges de presse-papiers redirigent les transferts de crypto.
CrowdStrike a déclaré que les opérateurs de Sality utilisaient EggJagger, un outil de « clipjacking » de surveillance du presse-papiers qui surveille les adresses de portefeuille copiées et les remplace avant que la victime ne colle.
Dans la description de CrowdStrike, c'est un « outil de clipjacking qui surveille le presse-papiers pour les adresses de portefeuille de cryptomonnaie et les remplace silencieusement par des adresses contrôlées par l'opérateur », transformant un flux de travail normal de copier-coller en point de compromission.
Le mécanisme est simple et désagréable car il frappe le moment exact où de nombreux traders actifs et utilisateurs en auto-gérance comptent sur la mémoire musculaire : copier un dépôt.adressed'un échange ou d'une contrepartie, puis le colle dans un portefeuille ou un formulaire de retrait. "Lorsque qu'une victime copie unBitcoinouEthereum« adresse pour effectuer un paiement, les fonds sont redirigés », a déclaré CrowdStrike.
Cela a une importance opérationnelle car l'écran de la victime peut toujours sembler "normal" dans le cadre d'un transfert rapide, surtout lorsque l'adresse est longue, que l'interface utilisateur la tronque, ou que l'utilisateur ne vérifie que les premiers et derniers caractères. Le clipjacking n'a pas besoin de briser la cryptographie ou de toucher la chaîne. Il doit simplement gagner la course entre copier et coller.
Ce que les traders peuvent et ne peuvent pas déduire des 150 000 $ volés par rapport au chiffre de 1,5 million $ au sommet.
CrowdStrike a estimé qu'au moins 12,1 millions de roubles, soit environ 150 000 dollars, en cryptomonnaie ont été volés au cours des huit dernières années via EggJagger. Dans le même rapport, CrowdStrike a déclaré que la valeur des “never-spent” volésactifs numériquesa atteint environ 1,5 million de dollars en janvier 2025.
L'écart entre ces deux chiffres est la partie que les traders ne devraient pas balayer d'un revers de main. Une estimation modeste du vol cumulé peut encore se traduire par une empreinte mark-to-market beaucoup plus grande si les soldes volés restent immobiles pendant un cycle haussier, et les avoirs « jamais dépensés » sont par définition le sous-ensemble le plus facile à suivre pour les défenseurs car ils restent en place.
En même temps, le paquet laisse des détails clés sur la valorisation et l'attribution non résolus. Il ne précise pas quels actifsont constitué les vols, le moment des vols dans la fenêtre de huit ans, ou comment les portefeuilles « jamais dépensés » ont été attribués et évalués pour atteindre le pic d'environ 1,5 million de dollars en janvier 2025.
Les prochaines confirmations qui changeraient la lecture pratique sont procédurales et techniques. Les divulgations de suivi du ministère de la Justice ou des agences partenaires clarifieraient si la perturbation a inclus des arrestations, des accusations ou des saisies d'infrastructure au-delà de l'impact des communications déclaré.
Un rapport technique supplémentaire de CrowdStrike ou de la Shadowserver Foundation serait également important, en particulier sur la façon dont un réseau pair-à-pair de cette taille a été perturbé et si une réinfection ou une reconstitution est déjà observée.
Le signal à court terme le plus exploitable pour les bureaux est de nouvelles alertes aux victimes ou des publications d'indicateurs de compromission qui permettent aux équipes de point final de détecter un comportement de presse-papiers de style EggJagger dans la nature.
Mon avis : C'est un rappel que l'hygiène des points de terminaison bat toujours l'analyse on-chain.
Le langage de style dépôt autour de cette opération est interprété comme une suppression, mais le seuil qui compte est de savoir si la perturbation est durable. « Perdu la capacité de communiquer avec des machines infectées » est une dégradation significative du contrôle, mais ce n'est pas la même chose que de retirer des logiciels malveillants des points de terminaison ou de prouver que l'infrastructure ne peut pas être reconstruite.
Le clipjacking est aussi un rappel qu'une grande partie des pertes en crypto se produit encore avant qu'une transaction n'atteigne un explorateur de blocs, car l'attaquant cible le flux de travail de l'utilisateur, pas le protocole.
Si les divulgations de suivi produisent des indicateurs concrets et montrent que le réseau pair-à-pair ne se reforme pas, cela passe d'une perturbation médiatique à un manuel répétable qui réduit réellement les pertes dues au détournement de presse-papiers dans les transferts quotidiens.
