CrowdStrike et le Département de la Justice ont démantelé Sality, un botnet qui circulait depuis 2003 et qui, au cours des huit dernières années, a détourné des paiements en cryptomonnaies en réécrivant les adresses de portefeuilles sur les ordinateurs infectés, a déclaré mardi la firme de sécurité.

Sality lui-même faisait peu de choses au-delà de la livraison de charges utiles d'autres personnes. Pendant huit ans, sa cargaison principale a été EggJagger, que CrowdStrike appelle "un outil de clipjacking qui surveille le presse-papiers pour les adresses de portefeuilles de cryptomonnaies" et les échange contre celles de l'opérateur. Une victime copiant une adresse Bitcoin ou Ethereum pour payer quelqu'un envoie l'argent à un inconnu.

CrowdStrike estime que le butin s'élève à un minimum de 12,1 millions de roubles, soit environ 150 000 $, provenant d'EggJagger seul. Avant EggJagger, le botnet tirait ses revenus de la livraison de vols d'identifiants, de spam, de services proxy et de charges utiles de déni de service.

Ce que l'opérateur n'a jamais dépensé

Les cryptomonnaies volées sont restées en grande partie intactes, ce qui s'est avéré être la décision la plus rentable. CrowdStrike évalue le portefeuille jamais dépensé à un pic d'environ 147 millions de roubles en janvier 2025, soit une valeur nominale de 1,35 million de dollars, ou environ le pouvoir d'achat de 4 millions de dollars dans une capitale occidentale.

Sality a survécu depuis 2003 car il n'avait pas de serveur central à saisir. Les machines infectées communiquaient directement entre elles, et le malware se propageait en s'attachant aux fichiers exécutables transmis via les partages réseau et les lecteurs amovibles, se régénérant sans effort de son opérateur.

Cette architecture a également été la voie d'entrée. Les bots acceptaient toute machine accessible qui répondait correctement à la poignée de main, sans vérifier qui se joignait. L'équipe d'opérations de lutte contre les adversaires de CrowdStrike a utilisé cet accès pour retirer les pairs légitimes de la liste d'adresses de chaque bot et insérer ses propres puits de collecte (sinkholes), isolant plus de 15 000 machines dans le monde entier.

Le Département de la Justice, le FBI et le Service d'Enquête Criminelle de la Défense ont saisi des domaines liés à Sality aux États-Unis, tandis que la police en Bulgarie, en Hongrie et en Roumanie a démantelé d'autres en Europe. La Shadowserver Foundation travaille avec les fournisseurs d'accès Internet pour informer les victimes.

L'opérateur, que CrowdStrike identifie sous le nom de SALTY SPIDER, a occasionnellement dirigé le botnet contre ses propres cibles. Une charge utile de déni de service en septembre 2023 a frappé AvanChange, une plateforme d'échange de cryptomonnaies russe, et a été compilée quelques secondes avant le téléchargement, ce que CrowdStrike interprète comme une réponse impulsive à un grief personnel. La firme estime que l'opérateur utilisait des plateformes d'échange comme celle-ci pour convertir les cryptomonnaies volées en espèces.

Les machines infectées signalent désormais aux puits de collecte contrôlés par CrowdStrike plutôt qu'à leur propriétaire. La société a publié des règles de détection et des indicateurs réseau, et avertit que les malwares déjà présents sur ces machines restent actifs tant que personne ne les supprime.