Cripto: A rede Sality cai após oito anos de roubos de Bitcoin e Ethereum

A desmontagem do Sality encerra uma longa operação de desvio de criptomoedas. Este botnet, ativo desde 2003, dedicou seus últimos oito anos ao roubo de bitcoins e Ethers. Seu modo de operação baseava-se numa técnica simples: modificar os endereços das carteiras copiadas nas máquinas infectadas. CrowdStrike e o Departamento de Justiça americano coordenaram a operação. Mais de 15.000 máquinas foram isoladas em várias regiões do mundo após essa operação em escala global. O fenômeno cripto esteve no centro desta atividade.

Um botnet que desvia pagamentos de Bitcoin e Ethereum

Sality funcionava como uma rede de máquinas infectadas que se comunicavam diretamente entre si. Durante oito anos, sua principal ferramenta, EggJagger, monitorava a área de transferência dos computadores comprometidos. Quando uma vítima copiava um endereço Bitcoin ou Ethereum, o programa o substituía pelo do operador. O pagamento então seguia para outro endereço.

Este método não alterava diretamente uma transação na blockchain. O botnet atuava antes do envio, no momento em que o usuário preparava seu pagamento. CrowdStrike estima que o EggJagger causou perdas de pelo menos 12,1 milhões de rublos. Essa quantia corresponde a aproximadamente 150.000 dólares no setor cripto.

Antes do EggJagger, Sality já explorava várias fontes de renda criminosa. A rede servia especialmente para roubo de credenciais, spam, serviços proxy e ataques de negação de serviço. Sua atividade cripto marcou uma evolução de seu modelo. O operador então reteve grande parte dos ativos roubados.

Uma arquitetura que complicou a desmontagem

Sality resistiu graças a uma arquitetura sem servidor central explorável. As máquinas infectadas trocavam informações diretamente, o que dificultava a intervenção. O malware se propagava via arquivos executáveis de compartilhamentos de rede e drives removíveis. Assim, ele podia se regenerar automaticamente.

O botnet aceitava máquinas acessíveis que respondiam corretamente ao seu mecanismo de autenticação. Contudo, não verificava a identidade dos novos usuários. A CrowdStrike explorou essa fraqueza para remover pares legítimos das listas de endereços das máquinas infectadas. Ela adicionou seus próprios pontos de bloqueio para isolar mais de 15.000 computadores.

A operação mobilizou várias autoridades. Segundo o comunicado do Departamento de Justiça, o FBI e o serviço de investigações criminais da Defesa apreenderam nomes de domínio associados ao Sality nos Estados Unidos. Na Europa, as polícias búlgaras, húngaras e romenas desmontaram outras infraestruturas. A Shadowserver Foundation trabalha com os provedores de acesso para informar as vítimas no ecossistema cripto.

Criptomoedas roubadas ainda largamente intactas

O botnet Sality deixou para trás uma carteira contendo grande parte das criptomoedas roubadas. A CrowdStrike avaliava esses fundos em cerca de 147 milhões de rublos em janeiro de 2025. Esse valor representava aproximadamente 1,35 milhão de dólares. Essa quantia também correspondia a um poder de compra de quatro milhões de dólares em uma capital ocidental.

SALTY SPIDER também usou sua rede contra alguns alvos. Em setembro de 2023, um ataque de negação de serviço mirou especialmente a AvanChange, uma plataforma russa de troca de criptomoedas. CrowdStrike indica que o código malicioso foi compilado poucos segundos antes de ser colocado online. Interpreta esse prazo como uma reação impulsiva a uma queixa pessoal.

Após a intervenção, as máquinas infectadas agora transmitem suas informações para servidores de teste controlados pela CrowdStrike. A empresa publicou regras de detecção e indicadores de rede. Os malwares já instalados permanecem ativos até sua remoção. O botnet, portanto, não desaparece automaticamente dos aparelhos após a desmontagem.

A curto prazo, a intervenção modifica as comunicações do Sality e limita seu controle sobre as máquinas. Os fundos retidos continuam sendo elemento central do caso de fraude cripto. O acompanhamento das infecções e a remoção dos malwares determinarão agora o alcance da operação. O botnet Sality entra assim em uma nova fase, marcada pelo isolamento de suas máquinas e pela vigilância de suas rastros.