Ботнет Sality, существовавший с 2003 года, был ликвидирован в результате совместной операции Министерства юстиции США и компании CrowdStrike. За последние восемь лет он украл более $150,000 в криптовалюте, используя инструмент EggJagger для подмены адресов кошельков.
Операция по ликвидации ботнета Sality охватила четыре страны: США, Болгарию, Венгрию и Румынию. В результате было изолировано более 15,000 зараженных машин, что стало возможным благодаря сотрудничеству правоохранительных органов и частного сектора.
Основным инструментом, использовавшимся ботнетом в последние восемь лет, был EggJagger. Этот инструмент следил за буфером обмена на зараженных компьютерах и заменял адреса кошельков на адреса оператора, что позволяло ему красть средства пользователей.
CrowdStrike оценивает, что ботнет украл как минимум 12.1 миллиона рублей, что составляет около $150,000, только с помощью EggJagger. Однако, по данным компании, неиспользованные средства в итоге достигли пиковых значений в 147 миллионов рублей в январе 2025 года, что эквивалентно $1.35 миллиона.
Сеть Sality существовала благодаря децентрализованной архитектуре, что затрудняло ее ликвидацию. Инфицированные машины общались друг с другом напрямую, а распространение вредоносного ПО происходило через исполняемые файлы и съемные носители.
Команда Counter Adversary Operations компании CrowdStrike использовала доступ к ботнету для удаления легитимных узлов из адресных списков и замены их на свои собственные sinkholes, что позволило изолировать более 15,000 машин по всему миру.
Правоохранительные органы США, включая ФБР и Службу уголовных расследований Министерства обороны, изъяли домены, связанные с Sality, в то время как полиция в Болгарии, Венгрии и Румынии ликвидировала другие узлы в Европе.
Оператор ботнета, известный как SALTY SPIDER, также использовал свои ресурсы для атак на криптовалютные биржи. В сентябре 2023 года он запустил атаку типа «отказ в обслуживании» на российскую биржу AvanChange.
CrowdStrike предупреждает, что вредоносное ПО, уже находящееся на зараженных машинах, остается активным до тех пор, пока его не удалят. Компания опубликовала правила обнаружения и сетевые индикаторы для помощи в ликвидации угрозы.
Источники
- Источник статьи: Decrypt
- Дополнительно: U.S. Department of Justice
- Источник изображения: Decrypt
Материал носит информационный характер и не является инвестиционной рекомендацией.
