US-amerikanisches Cybersecurity-Unternehmen CrowdStrike und die US-Bundesbehörden für Strafverfolgung haben das mit Russland in Verbindung gebrachte Sality-Malware-Botnetz zerschlagen, das seit 2003 betrieben wurde und in den vergangenen acht Jahren Kryptowährungszahlungen auf infizierten Computern kaperten. Laut ChainCatcher überwachte die zentrale Nutzlast der Malware, EggJagger, die Zwischenablage und ersetzte Text, der Bitcoin- oder Ethereum-Adressen ähnelte, durch vom Angreifer kontrollierte Adressen. Dadurch schickten die Opfer beim Einfügen von Überweisungsdetails das Geld an das falsche Ziel.

Sality hatte keinen zentralen Server, den es übernehmen konnte, und setzte stattdessen auf die direkte Kommunikation zwischen infizierten Geräten. Dabei wurden Peer-Knoten alle 40 Minuten überprüft; die Verbreitung erfolgte über Netzlaufwerke und USB-Laufwerke. CrowdStrike erklärte, es habe eine Sicherheitslücke in diesem Mechanismus ausgenutzt, um die Server des Botnetzes durch legitime Peer-Adressen zu ersetzen und so mehr als 15.000 infizierte Geräte vom Netzwerk abzuschneiden. Die Aktion wurde am Montag live auf dem Day Zero Summit von CrowdStrike in Las Vegas demonstriert, und das US-Justizministerium sagte, das Vorgehen habe seinen Ursprung in Russland gehabt.

CrowdStrike schätzte, dass Angreifer über acht Jahre hinweg mindestens 12,1 Millionen Rubel gestohlen haben. Der Großteil der gestohlenen Kryptowährung wurde nicht ausgegeben, und ihr Wert stieg Anfang 2025 auf etwa 1,35 Millionen US-Dollar, nachdem die Preise gestiegen waren. Beamte rieten Nutzern, nach dem Einfügen einer Kryptowährungsadresse die ersten und letzten Zeichen zu überprüfen, um Angriffe durch Clipbord-Hijacking zu erkennen.