CrowdStrike et le département de la Justice des États-Unis ont perturbé le botnet Sality, isolant plus de 15 000 machines infectées qui avaient été utilisées pour distribuer des charges utiles malveillantes. Actif depuis 2003, Sality a passé les huit dernières années à diffuser principalement EggJagger, un outil qui surveillait les adresses de portefeuilles de cryptomonnaies copiées et les remplaçait par des adresses contrôlées par son opérateur.

L’opération visait une faiblesse dommageable dans les flux de paiement en cryptomonnaies. Lorsque des logiciels malveillants modifient une adresse avant qu’un paiement ne soit finalisé, les fonds peuvent être redirigés vers un autre destinataire. CrowdStrike estime qu’EggJagger à lui seul a été responsable d’au moins 12,1 millions de roubles, soit environ 150 000 $, de cryptomonnaies volées.

Aujourd’hui, le @FBI , @TheJusticeDept , et le Defense Criminal Investigative Service (DCIS) ont annoncé une opération multinationale menée aux États-Unis et en Europe pour perturber le botnet connu sous le nom de Sality. Depuis 2003, le botnet Sality a installé des logiciels malveillants sur des systèmes compromis… pic.twitter.com/HNIY3oCGYr — FBI Cyber Division (@FBICyberDiv) September 1, 2026

Aujourd’hui, le @FBI , @TheJusticeDept , et le Defense Criminal Investigative Service (DCIS) ont annoncé une opération multinationale menée aux États-Unis et en Europe pour perturber le botnet connu sous le nom de Sality.

Depuis 2003, le botnet Sality a installé des logiciels malveillants sur des systèmes compromis… pic.twitter.com/HNIY3oCGYr

— FBI Cyber Division (@FBICyberDiv) September 1, 2026

Sality a été observé pour la première fois en 2003 et a ensuite évolué en un botnet pair à pair. Au lieu de s’appuyer sur un serveur central de commandement et de contrôle, les machines infectées communiquaient directement entre elles. Le logiciel malveillant se propage également en s’attachant à des fichiers exécutables partagés via des partages réseau, des supports amovibles et le partage de fichiers.

Selon CrowdStrike, le rôle technique de Sality consistait à déployer des charges utiles supplémentaires sur les machines infectées. Au cours des huit dernières années, EggJagger est devenu sa charge utile principale.

L’outil de clipjacking surveillait le presse-papiers d’une victime à la recherche d’adresses de portefeuilles de cryptomonnaies et les remplaçait silencieusement par une adresse contrôlée par l’opérateur. Une personne copiant une adresse Bitcoin ou Ethereum pour effectuer un paiement pouvait donc voir des fonds détournés au profit d’un autre destinataire.

Ce mécanisme diffère d’une compromission de plateforme d’échange ou d’une exploitation de contrat intelligent. Il impliquait l’appareil et le presse-papiers utilisés dans le processus de préparation d’un paiement en cryptomonnaie, et non une attaque contre la blockchain elle-même.

Ce que le démantèlement démontre, et ce qu’il ne démontre pas

L’équipe Counter Adversary Operations de CrowdStrike a utilisé contre le botnet la conception pair à pair de Sality. L’opération a manipulé les listes de pairs en supprimant les pairs légitimes et en insérant des sinkholes contrôlés par CrowdStrike. Cela a isolé les machines infectées du contrôle de l’opérateur et empêché le botnet de recevoir de nouvelles instructions.

Le département de la Justice des États-Unis, le FBI et le Defense Criminal Investigative Service ont pris des mesures contre des infrastructures liées à Sality aux États-Unis. Des partenaires chargés de l’application de la loi en Bulgarie, en Hongrie et en Roumanie ont soutenu des actions connexes en Europe. La Shadowserver Foundation travaille avec des fournisseurs d’accès à Internet pour informer les victimes.

CrowdStrike suit l’opérateur sous le nom de SALTY SPIDER. La société a indiqué que les cryptomonnaies volées étaient en grande partie restées non dépensées, le portefeuille ayant atteint un pic d’environ 147 millions de roubles en janvier 2025, soit nominalement environ 1,35 million de dollars.

Perturber le canal de contrôle de l’opérateur ne supprime pas les logiciels malveillants des systèmes compromis. CrowdStrike a précisé que les logiciels malveillants déjà présents sur les machines infectées restent actifs jusqu’à leur suppression, ce qui signifie que les systèmes concernés nécessitent toujours une remédiation.

EXPLORE : Best Crypto Presales With Asymmetric Upside in the Current Market

Pourquoi ce vol compte pour les utilisateurs de cryptomonnaies

Le total confirmé des vols attribués à EggJagger est limité à une seule famille de charges utiles, mais le mécanisme montre comment un logiciel malveillant peut interférer avec un flux de paiement courant. Une adresse copiée peut provenir d’une source légitime, tandis que le contenu du presse-papiers est altéré sur un appareil infecté avant qu’une transaction ne soit finalisée.

Les plus de 15 000 machines isolées pendant l’opération illustrent l’ampleur de l’infrastructure traitée par CrowdStrike. L’affaire repose sur la substitution via le presse-papiers : le logiciel malveillant surveillait les adresses de portefeuilles de cryptomonnaies et les remplaçait par des adresses contrôlées par l’opérateur, redirigeant les paiements effectués depuis des ordinateurs infectés.

Bitcoin et la perturbation de Sality

Le contexte de marché du Bitcoin et l’opération Sality sont deux sujets distincts. Le botnet a utilisé des adresses de cryptomonnaies dans le cadre de son schéma de vol, mais les éléments entourant la perturbation n’établissent pas de lien entre l’opération et l’évolution du marché du Bitcoin.

Le démantèlement constitue plutôt un événement de cybersécurité lié à la sûreté des flux de paiement sur des appareils compromis. Son effet immédiat, selon CrowdStrike, a été d’isoler les machines infectées afin que l’opérateur ne puisse plus communiquer avec elles ni émettre de nouvelles instructions.

Pour les utilisateurs de cryptomonnaies, la question centrale n’est pas une modification de la blockchain sous-jacente. C’est le risque qu’un logiciel malveillant présent sur un appareil altère les informations de paiement pendant un flux de transaction. La présence continue du logiciel malveillant sur les machines concernées signifie également que la perturbation ne les a pas nettoyées elle-même.

Suivez 99Bitcoins sur X pour les dernières mises à jour du marché et abonnez-vous sur YouTube pour une analyse quotidienne experte du marché.