Hơn 15.000 thiết bị nhiễm mã độc bị cô lập trong chiến dịch triệt phá botnet Sality đánh cắp tiền mã hóa

Hơn 15.000 thiết bị nhiễm mã độc trên toàn cầu đã được cô lập sau khi Bộ Tư pháp Mỹ (DOJ), Cục Điều tra Liên bang (FBI) và CrowdStrike(CRWD) phối hợp triệt phá hạ tầng mạng botnet ngang hàng (P2P) mang tên Sality, vốn bị lợi dụng để đánh cắp tiền mã hóa.

Văn phòng Công tố Liên bang Khu vực Trung tâm California thuộc Bộ Tư pháp Mỹ cho biết ngày 1 (giờ địa phương) rằng một chiến dịch đa quốc gia được triển khai tại Mỹ, Bulgaria, Hungary và Romania đã làm gián đoạn và vô hiệu hóa mã độc cùng hạ tầng botnet Sality. Tham gia chiến dịch có Bộ Tư pháp Mỹ, FBI, Cục Điều tra Tội phạm Quốc phòng (DCIS) trực thuộc Văn phòng Tổng thanh tra Bộ Quốc phòng Mỹ, CrowdStrike(CRWD) và Quỹ Shadowserver (Shadowserver Foundation).

Trong báo cáo phân tích công bố cùng ngày, CrowdStrike(CRWD) cho biết công ty đã thực hiện chiến dịch "sinkhole" theo mô hình P2P vào ngày 31 tháng 8 (giờ địa phương), qua đó cô lập hơn 15.000 thiết bị nhiễm mã độc trên toàn thế giới và vô hiệu hóa kênh điều khiển của nhóm vận hành botnet. Công ty giải thích rằng trong suốt 8 năm qua, payload chủ đạo được phát tán là EggJagger, loại mã độc chuyên thay thế địa chỉ ví Bitcoin(BTC) và Ethereum(ETH) ngay trên bộ nhớ tạm (clipboard) của nạn nhân.

Bộ Tư pháp Mỹ cho biết đã thu giữ các tên miền liên quan đến Sality tại Mỹ, trong khi cơ quan thực thi pháp luật của Bulgaria, Hungary và Romania cũng xử lý các tên miền đặt tại châu Âu. Quỹ Shadowserver hiện đang phối hợp cùng các nhà cung cấp dịch vụ internet (ISP) và các đội ứng cứu sự cố an ninh mạng (CERT) để hỗ trợ xác định thiết bị bị nhiễm và thông báo cho nạn nhân.