Depuis des années, le malware russe Sality remplace les adresses de portefeuilles cryptographiques dans le presse-papiers et redirige les paiements vers les comptes des attaquants. CrowdStrike, en collaboration avec les forces de l'ordre fédérales, a mis hors ligne plus de 15 000 appareils infectés en exploitant une faiblesse du mécanisme de communication du botnet.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Principal
- CrowdStrike et les forces de l'ordre fédérales ont perturbé Sality, un botnet russe qui interceptait les transferts de crypto-monnaie en usurpant les adresses de portefeuille copiées.
- Le malware ne reposait pas sur un serveur central : les appareils infectés communiquaient directement entre eux et se propageaient via les lecteurs réseau et les clés USB.
- En huit ans, le stratagème a rapporté aux attaquants au moins 12,1 millions de roubles, soit environ 150 000 dollars. La valeur de certains des actifs intacts a ensuite atteint environ 1,35 million de dollars.
Comment Sality a usurpé les adresses de crypto-monnaie
Le plan était simple et donc dangereux. Les adresses des portefeuilles Bitcoin et Ethereum apparaissent sous forme de longues chaînes de caractères, de sorte que les utilisateurs les copient presque toujours plutôt que de les saisir manuellement. C'est sur cette habitude que reposait l'attaque.
La charge utile Sality, que CrowdStrike a appelée EggJagger, surveillait le presse-papiers de l'ordinateur infecté. Si une chaîne similaire à une adresse Bitcoin ou Ethereum était incluse, le programme informatique la remplacerait discrètement par une adresse contrôlée par l'attaquant.
L'utilisateur a inséré l'adresse déjà usurpée dans le portefeuille, a confirmé le transfert – et la crypto-monnaie n'est pas allée au destinataire, mais à l'opérateur de l'attaque. Aucun avertissement n'apparaissait et il était impossible d'annuler une telle transaction une fois envoyée.
La défense la plus fiable dans une telle situation reste simple :
- Vérifiez les premier et dernier caractères de l'adresse après l'insertion.
- Utilisez uniquement des appareils fiables pour les transferts.
- Analysez votre appareil à la recherche de logiciels malveillants.
Pourquoi le botnet a-t-il été difficile à supprimer ?
Sality ne fonctionnait pas comme un service régulier avec un seul point de contrôle. Il n'y avait pas de serveur central qui pouvait simplement être arrêté. Les ordinateurs infectés se contactaient directement et vérifiaient toutes les 40 minutes environ quels hôtes connus étaient toujours en ligne.
En termes de mode de distribution, Sality faisait immédiatement penser à un virus informatique et à un ver de réseau : il s'attachait aux programmes présents sur les ressources réseau et les clés USB, puis était restauré sans commande explicite de l'opérateur. Cette approche a permis au botnet de rester viable sur Internet pendant longtemps.
Tout ordinateur qui répondait comme prévu était accepté comme faisant partie du réseau sans autre vérification d'identité. C’est cette faille de sécurité informatique qui est devenue le point d’entrée de l’opération CrowdStrike.
L'entreprise a remplacé les adresses réelles des nœuds par ses propres serveurs et a ainsi coupé plus de 15 000 machines infectées du botnet. L'opération a eu lieu lundi lors d'une manifestation au sommet Day Zero à Las Vegas.
Que montre cette attaque ?
Selon les normes des grands piratages de crypto-monnaie, le montant semble faible, mais l'histoire de Sality est importante pour les autres. Il montre combien de temps un schéma simple peut fonctionner s'il rompt avec les habitudes de l'utilisateur : copier, coller et ne pas vérifier le résultat.
Ce type de malware ne se comporte pas nécessairement comme un ransomware, un keylogger, un Spyware ou un Adware. Il ne peut pas afficher de fenêtre contextuelle, lancer du spam par courrier électronique, crypter un fichier sur votre disque dur ou lancer une attaque DoS sur le site. Sa tâche était plus calme et plus précise : attendre le moment où la personne copie l'adresse du portefeuille.
L’histoire des logiciels malveillants a commencé avec des virus et des vers relativement simples, puis est passée aux chevaux de Troie, aux ransomwares, aux logiciels espions et aux botnets. Parmi les exemples les plus célèbres et les plus destructeurs figurent ILOVEYOU, qui s'est propagé par courrier électronique, et Mirai (un botnet), qui a infecté des appareils et les a utilisés pour des attaques. Dans ce contexte, Sality s'est démarqué par sa tactique de niche : il a attendu le moment où une personne copiait l'adresse du portefeuille crypto.
Pour réduire le risque de telles attaques, des habitudes simples sont importantes :
- Utilisez un programme antivirus.
- Mettez régulièrement à jour votre système d'exploitation.
- Vérifiez soigneusement les données avant d’envoyer un transfert de crypto-monnaie.
Les programmes antivirus mis à jour et le système d'exploitation corrigent certaines vulnérabilités avant qu'elles ne soient exploitées par des logiciels malveillants.
Un risque distinct est associé à l’ingénierie sociale et au déguisement de fichiers malveillants en applications classiques. Un utilisateur peut télécharger un logiciel infecté à partir d'un site douteux, l'obtenir via un lecteur partagé ou exécuter un fichier à partir d'une clé USB, sans savoir que l'ordinateur fait déjà partie d'un réseau cybercriminel.
L'opération contre Sality était liée à la Russie. Pour le marché, c'est un autre rappel : la sécurité informatique dans les crypto-monnaies commence non seulement par le choix d'un portefeuille, mais aussi par la vérification de chaque action avant d'envoyer des fonds.
Qu’est-ce qu’un malware et comment se propage-t-il ?
Un logiciel malveillant est un programme ou un morceau de code conçu pour permettre un accès non autorisé, voler des données, vous espionner, afficher des publicités intrusives, bloquer des fichiers ou rejoindre un appareil dans un botnet.
Il atteint le plus souvent les appareils via des courriers électroniques et des pièces jointes, des sites infectés, des téléchargements douteux, des clés USB, des partages réseau et des applications qui se font passer pour des programmes sûrs.
Principaux types et signes d'infection
- Les virus s'attachent aux fichiers ou aux programmes et s'exécutent avec eux.
- Les vers se propagent sur les réseaux et peuvent infecter les appareils sans action explicite de l'utilisateur.
- Les chevaux de Troie ressemblent à des applications classiques, mais ils effectuent des actions malveillantes cachées.
- Les logiciels espions surveillent les activités des utilisateurs et peuvent collecter des mots de passe, de la correspondance ou d'autres données.
- Les logiciels publicitaires affiche des publicités intrusives et peuvent rediriger l'utilisateur vers des sites douteux.
- Le ransomware verrouille les fichiers ou le système et demande une rançon pour restaurer l'accès.
- Les rootkits aident à masquer la présence de logiciels malveillants sur un système.
- Les botnets regroupent les appareils infectés et les utilisent pour des attaques, des massacres ou des vols de données.
L'infection peut être indiquée par des ralentissements notables, des fenêtres contextuelles, des redémarrages spontanés, une activité réseau inhabituelle, l'apparition de programmes inconnus, un accès bloqué aux fichiers et un comportement étrange du navigateur ou du portefeuille.
Protection, antivirus et suppression de logiciels malveillants
Des mises à jour régulières des logiciels et du système d'exploitation, un antivirus, la prudence avec les pièces jointes et les liens, l'évitement des téléchargements douteux, la vérification des clés USB et la sauvegarde des données importantes contribuent à la protection.
Les programmes antivirus populaires incluent Kaspersky, ESET NOD32, Avast, Bitdefender et Norton. Kaspersky et sont des produits russes ; Lors du choix d'un antivirus, vous devez examiner la fréquence des mises à jour, les fonctionnalités de protection, la compatibilité avec l'appareil, la qualité du support et la facilité d'analyse.
- Déconnectez l'appareil du réseau s'il y a des signes d'infection active.
- Exécutez une analyse complète avec un scanner antivirus.
- Si un logiciel malveillant interfère avec le fonctionnement, démarrez l'appareil en mode sans échec et répétez l'analyse.
- Supprimez toutes les menaces trouvées et redémarrez l'appareil.
- Mettez à jour votre système d'exploitation, votre navigateur, votre portefeuille et d'autres programmes importants.
- En cas de dommages graves, utilisez la restauration du système ou une sauvegarde propre.
Voir l’article original en russe
