Le malware Sality continue de voler des cryptomonnaies en substituant des adresses lorsque l'utilisateur copie et colle, malgré le démantèlement de son botnet le 31 août. CrowdStrike prévient que le code déjà installé est toujours actif.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Une attaque de malware qui échange les adresses de cryptomonnaie lorsque l'utilisateur copie et colle continue de menacer les utilisateurs d'ordinateurs infectés, malgré le démantèlement international du botnet Sality le 31 août. Selon la société de cybersécurité CrowdStrike, l'opération a interrompu la livraison de nouvelles charges utiles malveillantes, mais le code déjà installé sur des milliers de machines continue de fonctionner et peut voler des fonds au moment d'un transfert.
Le problème est aussi simple que dangereux : lorsque la victime copie une adresse de portefeuille pour la coller dans un envoi, le malware la remplace silencieusement par une adresse contrôlée par les attaquants. Étant donné que les adresses cryptographiques sont longues et difficiles à vérifier à partir de la mémoire, la plupart des utilisateurs collent et confirment sans remarquer le changement. L'argent va directement aux criminels.
Comment fonctionnent les logiciels malveillants Sality et le vol par copier-coller
Sality est une famille de logiciels malveillants avec plus d'une décennie d'histoire qui infecte les fichiers exécutables et forme des réseaux d'ordinateurs compromis. Dans son rapport du 1er septembre, CrowdStrike a détaillé la perturbation du botnet et a averti que l'action coordonnée bloquait la communication avec les serveurs de commande, empêchant les opérateurs d'envoyer de nouvelles instructions ou modules aux machines déjà infectées.
Cela laisse une nuance inconfortable. La canne à pêche a été coupée, mais l'hameçon est toujours coincé. Les composants qui résident déjà sur un ordinateur compromis, y compris le module qui surveille le presse-papiers et remplace les adresses de portefeuille, ne disparaissent pas d'eux-mêmes. Tant que l’ordinateur n’est pas soigneusement nettoyé, le soi-disant « clipper » continue d’attendre toute opération de cryptomonnaie.
La technique ne fait pas de distinction entre les réseaux : elle peut échanger des adresses de Bitcoin, Ethereum et autres chaînes, en adaptant le format pour que le remplacement apparaisse légitime. En n'obligeant pas la victime à installer quoi que ce soit de nouveau ou à cliquer sur un lien au moment du vol, il est particulièrement difficile à détecter pour l'utilisateur moyen.
Une opération internationale contre le botnet
Le démantèlement faisait partie d'une action multinationale. Le ministère américain de la Justice a annoncé une opération coordonnée avec des partenaires internationaux, visant à neutraliser l'infrastructure qui soutenait le réseau d'ordinateurs infectés. La coordination a permis de toucher les serveurs à partir desquels les charges utiles malveillantes étaient distribuées.
La leçon pour l'industrie est familière mais répétée : démanteler l'infrastructure d'un botnet n'est pas la même chose que désinfecter les appareils des victimes. Chaque machine compromise est un front qui doit être traité séparément, avec des outils de nettoyage et, dans de nombreux cas, avec la réinstallation du système d'exploitation.
Ces types de menaces s’ajoutent à une liste croissante de risques qui affectent les utilisateurs d’actifs cryptographiques par des moyens indirects. Ces derniers mois, tout a été documenté, des fuites de fonds sur les plateformes de conservation aux violations de données en passant par l'espionnage des appareils domestiques sur le réseau domestique, rappelant que la surface d'attaque va bien au-delà des portefeuilles eux-mêmes.
Comment se protéger de l'échange d'adresse
La défense contre une attaque par copier-coller dépend en grande partie du comportement de l’utilisateur, car la fraude se produit sur l’ordinateur lui-même avant que la transaction n’atteigne la blockchain. Certaines pratiques réduisent considérablement le risque :
- Vérifiez l'adresse complète avant de confirmer toute soumission, pas seulement le premier et le dernier caractère, car c'est exactement là que le malware le plus sophistiqué imite l'original.
- Faire un tester la transaction avec un petit montant lors de l'envoi de gros montants à une nouvelle adresse.
- Utilisez les fonctions de carnet d'adresses ou de liste blanche des échanges et des portefeuilles, qui définissent des destinations préalablement validées.
- Gardez le système d'exploitation et l'antivirus à jour et méfiez-vous des logiciels piratés ou téléchargés à partir de sources non officielles, mode de contagion habituel de Sality.
- Au moindre soupçon d’infection, transférez les fonds depuis un appareil propre et envisagez d’utiliser des portefeuilles matériels.
Pour ceux qui souhaitent approfondir la façon dont la peur et l'euphorie conditionnent les décisions hâtives – un terrain fertile pour ce type d'arnaque – il vaut la peine de comprendre les mécanismes du FOMO et du FUD sur le marché, car la précipitation pour terminer une expédition diminue souvent la garde de l'utilisateur.
L'affaire laisse un avertissement clair : même une victoire policière très médiatisée contre un réseau criminel ne supprime pas automatiquement le risque pour l'utilisateur final. Tant qu’il y aura des ordinateurs infectés non nettoyés, l’attaque qui vole des fonds par un simple copier-coller continuera à faire des victimes silencieuses.
Voir l’article original en espagnol
