CrowdStrike та Міністерство юстиції демонтували Sality, ботнет, який циркулював з 2003 року і протягом останніх восьми років перехоплював криптовалютні платежі, переписуючи адреси гаманців на заражених комп'ютерах, повідомила у вівторок фірма з кібербезпеки.

Сам Sality робив мало, окрім доставки чужих корисних навантажень. Протягом восьми років його основним навантаженням був EggJagger, який CrowdStrike називає "інструментом для кліпджекінгу, що моніторить буфер обміну на наявність адрес криптогаманців" і замінює їх на власні адреси оператора. Жертва, копіюючи адресу Bitcoin або Ethereum для оплати комусь, надсилає гроші незнайомцю.

CrowdStrike оцінює видобуток щонайменше в 12,1 мільйона рублів, приблизно 150 000 доларів, лише від EggJagger. До EggJagger ботнет заробляв на доставці викрадення облікових даних, спаму, проксі-сервісів та корисних навантажень для атак типу відмова в обслуговуванні (DoS).

Що оператор так і не витратив

Викрадені монети переважно залишалися недоторканими, що виявилося більш вигідним рішенням. CrowdStrike оцінює невитрачений портфель на піку приблизно в 147 мільйонів рублів у січні 2025 року, номінальні 1,35 мільйона доларів, або приблизно купівельна спроможність 4 мільйонів доларів у західній столиці.

Sality виживав з 2003 року, оскільки не мав центрального сервера, який можна було б захопити. Заражені машини спілкувалися безпосередньо одна з одною, а шкідливе програмне забезпечення поширювалося, приєднуючись до виконуваних файлів, що передавалися через мережеві ресурси та знімні носії, відновлюючись без зусиль з боку свого оператора.

Ця архітектура також була шляхом для проникнення. Боти приймали будь-яку доступну машину, яка правильно відповідала на рукостискання, без перевірки того, хто приєднувався. Команда CrowdStrike з протидії супротивникам використала цей доступ, щоб видалити легітимні однорангові вузли зі списку адрес кожного бота та вставити власні стоки (sinkholes), ізолювавши понад 15 000 машин по всьому світу.

Міністерство юстиції, ФБР та Слідча служба кримінальних розслідувань Міністерства оборони США вилучили домени, пов'язані з Sality, у США, тоді як поліція Болгарії, Угорщини та Румунії ліквідувала інші в Європі. Фонд Shadowserver співпрацює з інтернет-провайдерами для сповіщення жертв.

Оператор, якого CrowdStrike відстежує як SALTY SPIDER, час від часу спрямовував ботнет на власні цілі. Корисне навантаження для відмови в обслуговуванні у вересні 2023 року вразило AvanChange, російську криптовалютну біржу, і було скомпільовано за кілька секунд до завантаження, що CrowdStrike інтерпретує як імпульсивну відповідь на особисту образу. Фірма вважає, що оператор використовував подібні біржі для конвертації викрадених монет у готівку.

Заражені машини тепер повідомляють контрольованим CrowdStrike стокам (sinkholes), а не їхньому власнику. Компанія опублікувала правила виявлення та мережеві індикатори, і попереджає, що шкідливе програмне забезпечення, яке вже знаходиться на цих машинах, залишається активним, доки його хтось не видалить.