Pembongkaran Botnet Sality oleh CrowdStrike dan Departemen Kehakiman AS
CrowdStrike dan Departemen Kehakiman Amerika Serikat telah berhasil membongkar Sality, sebuah botnet yang telah beroperasi sejak tahun 2003. Selama delapan tahun terakhir, botnet ini dikenal karena kemampuannya membajak pembayaran cryptocurrency dengan cara menulis ulang alamat dompet di komputer yang terinfeksi. Menurut laporan dari perusahaan keamanan tersebut pada hari Selasa, Sality tidak melakukan banyak hal selain mengirimkan muatan dari pihak lain.
Muatan Utama dan Kerugian yang Dihasilkan
Selama delapan tahun, muatan utama yang digunakan oleh Sality adalah EggJagger, yang dijelaskan oleh CrowdStrike sebagai “alat clipjacking yang memantau clipboard untuk alamat dompet cryptocurrency” dan menukarnya dengan alamat milik operator. Akibatnya, seorang korban yang menyalin alamat Bitcoin atau Ethereum untuk melakukan pembayaran justru mengirimkan uangnya kepada orang asing. CrowdStrike memperkirakan bahwa hasil dari aktivitas ini mencapai minimal 12,1 juta rubel, setara dengan sekitar $150.000, hanya dari EggJagger.
Sebelum menggunakan EggJagger, botnet ini juga menghasilkan uang dengan cara mencuri kredensial, mengirimkan spam, menyediakan layanan proxy, dan melakukan serangan penolakan layanan. Koin yang dicuri sebagian besar dibiarkan tidak tersentuh, yang ternyata menjadi keputusan yang lebih menguntungkan. CrowdStrike memperkirakan bahwa portofolio yang tidak pernah dibelanjakan ini mencapai puncaknya sekitar 147 juta rubel pada Januari 2025, setara dengan $1,35 juta, atau kira-kira setara dengan daya beli $4 juta di negara-negara Barat.
Keberlangsungan dan Arsitektur Sality
Sality dapat bertahan sejak 2003 karena tidak memiliki server pusat yang dapat disita. Mesin yang terinfeksi berkomunikasi langsung satu sama lain, dan malware ini menyebar dengan menempel pada file executable yang dibagikan melalui jaringan dan drive yang dapat dilepas, beregenerasi tanpa usaha dari operatornya. Arsitektur ini juga menjadi cara masuk bagi botnet. Bot menerima mesin yang dapat dijangkau yang menjawab jabat tangan dengan benar, tanpa memeriksa siapa yang bergabung.
Operasi Penegakan Hukum dan Tindakan CrowdStrike
Tim Operasi Melawan Penjahat dari CrowdStrike memanfaatkan akses ini untuk menghapus rekan-rekan yang sah dari daftar alamat setiap bot dan menyisipkan sinkhole miliknya, sehingga mengisolasi lebih dari 15.000 mesin di seluruh dunia. Departemen Kehakiman, FBI, dan Layanan Investigasi Kriminal Pertahanan menyita domain yang terkait dengan Sality di AS, sementara polisi di Bulgaria, Hongaria, dan Rumania menutup domain lainnya di Eropa. Shadowserver Foundation bekerja sama dengan penyedia internet untuk memberi tahu para korban.
Aktivitas Terakhir dan Dampak
Operator yang dilacak oleh CrowdStrike dengan nama SALTY SPIDER kadang-kadang mengarahkan botnet ini ke target mereka sendiri. Pada September 2023, muatan penolakan layanan menyerang AvanChange, sebuah bursa cryptocurrency Rusia, dan disusun beberapa detik sebelum diunggah, yang dibaca oleh CrowdStrike sebagai respons impulsif terhadap keluhan pribadi. Perusahaan percaya bahwa operator menggunakan bursa seperti itu untuk mengonversi koin yang dicuri menjadi uang tunai. Saat ini, mesin yang terinfeksi melaporkan ke sinkhole yang dikendalikan oleh CrowdStrike, bukan kepada pemiliknya. Perusahaan telah menerbitkan aturan deteksi dan indikator jaringan, serta memperingatkan bahwa malware yang sudah ada di mesin tersebut tetap aktif sampai seseorang menghapusnya.
