coindesk.com
Das US-Cybersicherheitsunternehmen CrowdStrike und die Bundesbehörden für Strafverfolgung haben Sality demontiert, ein Botnetz, das seit 2003 aktiv ist und in den letzten 8 Jahren Kryptowährungszahlungen auf infizierten Computern entwendet hat.
Der ausgeführte Angriff ist so einfach, dass die meisten Krypto-Nutzer ihm ausgesetzt sind. Wallet-Adressen sind lange Zeichenketten, die niemand von Hand eingibt, weshalb diese kopiert und eingefügt werden.
Salitys Hauptpayload, den CrowdStrike „EggJagger“ nannte, befand sich auf infizierten Maschinen, überwachte die Zwischenablage und ersetzte bei Erkennung einer Bitcoin- oder Ether-Adresse den kopierten Text durch eine Adresse, die dem Angreifer gehörte.
Ein Opfer, das eine Adresse in seine Wallet einfügt und auf Senden klickt, bezahlt einen böswilligen Akteur – ohne Vorwarnung und ohne Möglichkeit zur Rückgängigmachung. Eine Schutzmaßnahme für Nutzer besteht darin, nach jedem Einfügen die ersten und letzten Zeichen einer Adresse zu überprüfen.
CrowdStrike schätzte, dass die Angreifer über acht Jahre hinweg mindestens 12,1 Millionen Rubel, etwa 150.000 US-Dollar, gestohlen haben. Ein Großteil der Kryptowährungen blieb unberührt, und der Wert dieser nicht ausgegebenen Bestände stieg Anfang 2025 auf bis zu 1,35 Millionen US-Dollar, da die Kryptowährungspreise zunahmen.
Obwohl die Zahl relativ gering ist, zeigt sie, wie ein einfacher Trick acht Jahre lang funktionierte – indem alltägliche Nutzer ausgenutzt wurden, die lange Wallet-Adressen kopierten, anstatt sie abzutippen oder genau zu prüfen.
Dementsprechend hatte Sality keinen zentralen Server, der beschlagnahmt werden konnte. Infizierte Rechner kommunizierten direkt miteinander und überprüften alle 40 Minuten, ob ihre bekannten Peers noch online waren. Die Malware verbreitete sich, indem sie sich an Programme anhängte, die auf Netzlaufwerken und USB-Sticks geteilt wurden, und regenerierte sich ohne jeglichen Aufwand seitens ihres bösartigen Betreibers.
Jeder Computer, der wie erwartet reagierte, wurde als Teil des Botnets betrachtet, ohne dass weitere Identitätsprüfungen vorgenommen wurden.
CrowdStrike nutzte diese Schwachstelle, um die echten Peer-Adressen durch eigene Server zu ersetzen und somit mehr als 15.000 infizierte Maschinen vom Netzwerk zu trennen. Die Operation wurde am Montag während einer Live-Demonstration beim Day Zero-Gipfel von CrowdStrike in Las Vegas durchgeführt, teilten die Behörden mit.
Die Abteilung teilte mit, dass die Operation in Russland angesiedelt war.