Smantellamento di Sality
CrowdStrike e il Dipartimento di Giustizia hanno smantellato Sality, un botnet attivo dal 2003, che negli ultimi otto anni ha dirottato pagamenti in criptovaluta riscrivendo gli indirizzi dei portafogli sui computer infetti.
Funzionamento di Sality
Sality ha svolto principalmente il ruolo di veicolo per il caricamento di malware di terze parti. Il suo carico principale è stato EggJagger, descritto da CrowdStrike come “uno strumento di clipjacking che monitora il contenuto degli appunti per gli indirizzi dei portafogli di criptovaluta” e li sostituisce con quelli dell’operatore. In questo modo, una vittima che copia un indirizzo Bitcoin o Ethereum per effettuare un pagamento finisce per inviare i fondi a uno sconosciuto.
CrowdStrike stima che il bottino accumulato da EggJagger ammonti a un minimo di 12,1 milioni di rubli, circa 150.000 dollari. Prima dell’introduzione di EggJagger, il botnet guadagnava attraverso furti di credenziali, spam, servizi proxy e attacchi di denial-of-service.
Valore delle criptovalute rubate
Le criptovalute rubate sono state in gran parte lasciate intatte, rivelandosi una decisione molto redditizia. CrowdStrike stima che il portafoglio mai speso possa raggiungere un valore di circa 147 milioni di rubli a gennaio 2025, corrispondenti a un valore nominale di 1,35 milioni di dollari, o circa 4 milioni di dollari in termini di potere d’acquisto in una capitale occidentale.
Architettura e diffusione del malware
Sality è riuscito a sopravvivere dal 2003 grazie all’assenza di un server centrale da sequestrare. Le macchine infette comunicavano direttamente tra loro, e il malware si diffondeva attaccandosi a file eseguibili trasmessi attraverso condivisioni di rete e unità rimovibili, rigenerandosi senza sforzo dal suo operatore.
Questa architettura ha anche facilitato l’accesso. I bot accettavano qualsiasi macchina raggiungibile che rispondesse correttamente alla stretta di mano, senza alcun controllo su chi si univa. Il team di Operazioni Contro Avversari di CrowdStrike ha sfruttato questo accesso per rimuovere i peer legittimi dalla lista degli indirizzi di ciascun bot e inserire i propri sinkhole, isolando oltre 15.000 macchine in tutto il mondo.
Collaborazione internazionale
Il Dipartimento di Giustizia, l’FBI e il Servizio Investigativo Criminale della Difesa hanno sequestrato domini legati a Sality negli Stati Uniti, mentre la polizia in Bulgaria, Ungheria e Romania ha smantellato ulteriori nodi in Europa. La Shadowserver Foundation sta collaborando con i fornitori di servizi Internet per notificare le vittime.
Attività dell’operatore
L’operatore, tracciato da CrowdStrike come SALTY SPIDER, ha occasionalmente attivato il botnet su obiettivi propri. Un attacco di denial-of-service a settembre 2023 ha colpito AvanChange, un exchange di criptovalute russo, ed è stato compilato pochi secondi prima del caricamento, il che CrowdStrike interpreta come una risposta impulsiva a un risentimento personale.
La società ritiene che l’operatore abbia utilizzato exchange come questo per convertire le monete rubate in contante. Le macchine infette ora segnalano a sinkhole controllati da CrowdStrike anziché al loro proprietario. L’azienda ha pubblicato regole di rilevamento e indicatori di rete, avvertendo che il malware già presente su quelle macchine rimane attivo fino a quando non viene rimosso.
