Lực lượng chức năng và CrowdStrike vô hiệu hóa botnet Sality
"International law enforcement, with CrowdStrike and Shadowserver Foundation, disrupted the Sality peer-to-peer botnet by poisoning peer lists and diverting infected nodes into sinkholes. The 23-year-old botnet had been used to distribute malware and, in recent years, EggJagger clipboard hijacking malware that stole cryptocurrency; CrowdStrike estimates at least $150,000 in crypto was taken, and authorities also seized related domains to aid victim notification and remediation."
Làm suy yếu hạ tầng điều khiển botnet, giảm khả năng phát tán mã độc và đánh cắp tiền mã hóa; đồng thời hỗ trợ xác định nạn nhân và thu thập chỉ dấu điều tra.
Có thể giảm rủi ro mất tiền mã hóa và lây nhiễm diện rộng, nhưng doanh nghiệp vẫn cần xử lý máy trạm bị nhiễm và chi phí khắc phục sự cố.
International law enforcement, phối hợp với CrowdStrike và Shadowserver Foundation, đã làm gián đoạn Sality — một peer-to-peer botnet tồn tại 23 năm và được cho là đã lây nhiễm hơn 15.000 máy trên toàn cầu. Nhóm này đã sử dụng kỹ thuật sinkhole và thao túng peer list để cô lập các nút bị nhiễm, khiến chúng không còn nhận được lệnh tải hoặc chuyển payload từ hạ tầng điều khiển.
Theo báo cáo kỹ thuật, Sality trước đây phát tán nhiều loại mã độc, gồm đánh cắp thông tin đăng nhập, spam, proxy, khai thác mạng và DDoS. Trong 8 năm gần đây, payload chính là EggJagger — mã độc giám sát clipboard để thay thế địa chỉ ví bitcoin hoặc ethereum bằng địa chỉ do kẻ tấn công kiểm soát. CrowdStrike ước tính chiến dịch này đã đánh cắp ít nhất 150.000 USD tiền mã hóa.
Ngoài biện pháp sinkhole, US Justice Department, FBI và DCIS đã thu giữ các domain liên quan tại Mỹ; cơ quan thực thi pháp luật ở Bulgaria, Hungary và Romania cũng xử lý thêm các domain tại châu Âu. Các CSIRT và nhà cung cấp dịch vụ Internet đang hỗ trợ xác định nạn nhân và khắc phục.
Khuyến nghị: rà soát dấu hiệu nhiễm Sality/EggJagger, kiểm tra máy trạm có hành vi thay đổi địa chỉ ví khi sao chép, và cập nhật quy trình giám sát clipboard cùng cảnh báo giao dịch tiền mã hóa.