La firma estadounidense de ciberseguridad CrowdStrike y las autoridades federales de seguridad han desmantelado Sality, una botnet que ha operado desde 2003 y ha pasado sus últimos 8 años secuestrando pagos en criptomonedas en computadoras infectadas.
El ataque que se ejecutó es lo suficientemente simple como para que la mayoría de los usuarios de criptomonedas estén expuestos a él. Las direcciones de cartera son cadenas largas que nadie escribe a mano, por lo que las personas las copian y pegan.
La carga principal de Sality, que CrowdStrike denominó ‘EggJagger’, se ubicaba en las máquinas infectadas, monitoreando el portapapeles, y cuando detectaba algo que parecía una dirección de bitcoin o ether, reemplazaba el texto copiado con una dirección perteneciente al atacante.
Una víctima que pega en su billetera y presiona enviar pagó a un actor malicioso, sin previo aviso y sin posibilidad de revertir la acción. Una defensa para los usuarios es verificar el primer y último carácter de una dirección después de pegarla, cada vez.
CrowdStrike estimó que los atacantes robaron al menos 12.1 millones de rublos, aproximadamente 150,000 dólares, durante ocho años. Gran parte de las criptomonedas quedaron intactas, y el valor de esas tenencias no gastadas posteriormente aumentó hasta alcanzar los 1.35 millones de dólares a principios de 2025, conforme los precios de las criptomonedas subieron.
Aunque el número es relativamente pequeño, demuestra cómo un truco sencillo funcionó durante ocho años — simplemente explotando usuarios cotidianos que copiaban direcciones largas de monederos en lugar de escribirlas o inspeccionarlas detenidamente.
Por lo tanto, Sality no tenía un servidor central que confiscar. Las máquinas infectadas se comunicaban directamente entre sí, verificando cada 40 minutos si sus pares conocidos seguían en línea, y el malware se propagaba adjuntándose a programas compartidos en unidades de red y unidades USB, regenerándose sin ningún esfuerzo por parte de su operador malicioso.
Cualquier computadora que respondiera de la manera esperada fue tratada como parte de la botnet, sin realizarse ninguna verificación de identidad adicional.
CrowdStrike utilizó esa vulnerabilidad para reemplazar las direcciones reales de los pares con sus propios servidores, desconectando a más de 15,000 máquinas infectadas de la red. La operación se llevó a cabo el lunes durante una demostración en vivo en la cumbre Day Zero de CrowdStrike en Las Vegas, informaron las autoridades.
cryptopolitan.com
diariobitcoin.com