CrowdStrike e il Dipartimento di Giustizia degli Stati Uniti hanno interrotto la botnet Sality, isolando oltre 15.000 macchine infette che erano state utilizzate per distribuire payload malevoli. Attiva dal 2003, Sality ha trascorso gli ultimi otto anni distribuendo principalmente EggJagger, uno strumento che monitorava gli indirizzi di wallet di criptovalute copiati e li sostituiva con indirizzi controllati dal suo operatore.

L'operazione ha preso di mira una debolezza dannosa nei flussi di pagamento in criptovalute. Quando il malware modifica un indirizzo prima che un pagamento venga completato, i fondi possono essere reindirizzati a un altro destinatario. CrowdStrike stima che EggJagger da solo sia stato responsabile di almeno 12,1 milioni di rubli, ovvero circa $150,000, in criptovalute sottratte.

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality. Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr — FBI Cyber Division (@FBICyberDiv) September 1, 2026

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality.

Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr

— FBI Cyber Division (@FBICyberDiv) September 1, 2026

Sality è stata osservata per la prima volta nel 2003 e si è evoluta in una botnet peer-to-peer. Invece di fare affidamento su un server centrale di comando e controllo, le macchine infette comunicavano direttamente tra loro. Il malware si diffondeva anche agganciandosi a file eseguibili condivisi tramite condivisioni di rete, unità rimovibili e file sharing.

Secondo CrowdStrike, il ruolo tecnico di Sality era distribuire ulteriori payload alle macchine infette. Negli ultimi otto anni, EggJagger è diventato il suo payload principale.

Lo strumento di clipjacking monitorava gli appunti della vittima alla ricerca di indirizzi di wallet di criptovalute e li sostituiva silenziosamente con un indirizzo controllato dall'operatore. Una persona che copiava un indirizzo Bitcoin o Ethereum per effettuare un pagamento poteva quindi vedere i fondi reindirizzati lontano dal destinatario previsto.

Questo meccanismo differisce da una violazione di un exchange o da uno sfruttamento di smart contract. Ha coinvolto il dispositivo e gli appunti usati nel processo di preparazione di un pagamento in criptovalute, anziché un attacco alla blockchain stessa.

Cosa dimostra la rimozione, e cosa no

Il team Counter Adversary Operations di CrowdStrike ha usato il design peer-to-peer di Sality contro la botnet. L'operazione ha manipolato gli elenchi dei peer rimuovendo i peer legittimi e inserendo sinkhole controllati da CrowdStrike. Ciò ha isolato le macchine infette dal controllo dell'operatore e ha impedito alla botnet di ricevere nuovi compiti.

Il Dipartimento di Giustizia degli Stati Uniti, l'FBI e il Defense Criminal Investigative Service hanno agito contro infrastrutture collegate a Sality negli Stati Uniti. Partner delle forze dell'ordine in Bulgaria, Ungheria e Romania hanno supportato azioni correlate in Europa. La Shadowserver Foundation sta collaborando con i provider Internet per notificare le vittime.

CrowdStrike identifica l'operatore come SALTY SPIDER. L'azienda ha affermato che le criptovalute sottratte sono rimaste in larga parte non spese, con il portafoglio che ha raggiunto un picco di circa 147 milioni di rubli nel gennaio 2025, nominalmente circa $1.35 million.

Interrompere il canale di controllo dell'operatore non rimuove il malware dai sistemi compromessi. CrowdStrike ha detto che il malware già presente sulle macchine infette rimane attivo finché non viene rimosso, il che significa che i sistemi colpiti richiedono ancora bonifica.

Perché il furto è importante per gli utenti crypto

Il totale confermato dei furti attribuiti a EggJagger è limitato a una sola famiglia di payload, ma il meccanismo mostra come il malware possa interferire con un normale flusso di pagamento. Un indirizzo copiato può provenire da una fonte legittima, mentre il contenuto degli appunti viene alterato su un dispositivo infetto prima che la transazione sia completata.

Le oltre 15.000 macchine isolate durante l'operazione illustrano la scala dell'infrastruttura affrontata da CrowdStrike. Il caso si concentra sulla sostituzione negli appunti: il malware monitorava gli indirizzi dei wallet di criptovalute e li sostituiva con indirizzi controllati dall'operatore, reindirizzando i pagamenti effettuati da computer infetti.

Bitcoin e la disruption di Sality

Il contesto di mercato di Bitcoin e l'operazione contro Sality sono questioni separate. La botnet ha usato indirizzi di criptovalute come parte del suo schema di furto, ma gli elementi relativi alla disruption non stabiliscono un collegamento tra l'operazione e la direzione di mercato di Bitcoin.

La rimozione è invece uno sviluppo di cybersecurity che riguarda la sicurezza dei flussi di pagamento su dispositivi compromessi. Il suo effetto immediato, secondo CrowdStrike, è stato isolare le macchine infette in modo che l'operatore non potesse più comunicare con esse o inviare nuove istruzioni.

Per gli utenti di criptovalute, il punto centrale non è un cambiamento della blockchain sottostante. È il rischio che il malware su un dispositivo possa alterare le informazioni di pagamento durante il flusso di una transazione. La presenza continua del malware sulle macchine colpite significa anche che la disruption non ha ripulito da sola quei sistemi.

Follow 99Bitcoins on X per gli ultimi aggiornamenti di mercato e iscriviti su YouTube per l'analisi giornaliera di esperti del mercato.

The post Sality Takedown Isolates 15,000 Machines Used in Crypto Theft appeared first on 99Bitcoins .