Des responsables fédéraux de l’application de la loi aux États-Unis, en collaboration avec la société de cybersécurité CrowdStrike, ont annoncé une action visant des acteurs situés derrière un logiciel malveillant ayant provoqué le vol d’environ 150 000 dollars en cryptomonnaies.
L’annonce a été faite dans le cadre d’une opération internationale à laquelle ont aussi participé les autorités en Bulgarie, en Hongrie et en Roumanie, ainsi que des partenaires du secteur privé, dont CrowdStrike et la Shadowserver Foundation. Selon le ministère américain de la Justice, l’opération visait à neutraliser le botnet Sality et les logiciels qui y sont associés.
Les autorités ont déclaré que Sality était utilisé depuis 2003 pour installer des logiciels malveillants sur les appareils compromis, entraînant des vols d’actifs numériques et d’autres attaques cybernétiques. Dans ce type d’attaque, l’attaquant n’a pas besoin de pirater directement le portefeuille ; il suffit de prendre le contrôle de l’appareil ou de l’outil copier-coller afin de modifier l’adresse du destinataire avant l’exécution du transfert.
CrowdStrike a expliqué que, durant les huit dernières années, des entités liées à Sality ont utilisé un outil appelé EggJagger, un outil de clipjacking qui surveille le presse-papiers de l’appareil à la recherche d’adresses de portefeuilles de crypto-monnaies, puis les remplace discrètement par des adresses contrôlées par l’opérateur. Selon l’entreprise, cela a permis de voler au moins 12,1 millions de roubles, soit environ 150 000 dollars, en crypto-monnaies.
L’entreprise a ajouté que la valeur des actifs numériques qui n’avaient pas encore été dépensés a atteint un pic d’environ 1,5 million de dollars en janvier 2025. Elle a également décrit clairement le mécanisme de l’attaque : lorsque la victime copie l’adresse Bitcoin ou Ethereum pour effectuer un paiement, les fonds sont transférés vers une autre adresse à la place.
D’après CrowdStrike, les efforts déployés par les autorités ont conduit les criminels à perdre la capacité de communiquer avec les appareils infectés, ce qui constitue un coup direct porté à l’infrastructure sur laquelle ils s’appuyaient pour faire fonctionner le réseau. Les autorités compétentes ont également indiqué qu’environ 15 000 appareils infectés faisaient partie d’un réseau pair-à-pair qui vérifiait la connectivité de ses systèmes toutes les 40 minutes.
Que révèle ce processus aux utilisateurs et aux plateformes ?
• S’en tenir uniquement à la fonction copier-coller ne suffit pas pour envoyer des crypto-monnaies.
• La vérification manuelle de l’adresse du portefeuille avant l’envoi reste une étape essentielle.
• Les appareils infectés peuvent modifier les données de transaction sans que l’utilisateur s’en rende compte immédiatement.
• La collaboration entre les autorités publiques et les entreprises de sécurité privées peut limiter la capacité des réseaux malveillants à fonctionner.
Cette affaire illustre comment un seul logiciel malveillant peut devenir un canal permanent de vol d’actifs numériques pendant des années, et comment la neutralisation de l’infrastructure de l’attaque peut stopper les pertes tout en mettant en évidence l’importance de la révision de sécurité à la fois au niveau de l’utilisateur et de la plateforme.