Ataque que troca endereço cripto copiado sobrevive à queda do Sality

A operação internacional que desativou o botnet Sality cortou a capacidade do grupo de entregar novos programas maliciosos, mas não alcançou o software que já estava instalado nas máquinas comprometidas. A CrowdStrike, que liderou a operação junto com a justiça americana e o FBI, estima que o grupo controlava mais de 33 mil computadores pelo mundo.

Esse programa que continua ativo nessas máquinas se chama EggJagger, e é exatamente a parte que mais interessa a quem usa criptomoedas.

O Sality funciona há mais de duas décadas. Observado desde 2003, ele evoluiu e passou a operar em rede ponto a ponto, em que cada computador infectado se comunica diretamente com os outros, sem depender de um servidor central. Essa arquitetura o tornou difícil de tirar do ar por muito tempo.

Nos últimos oito anos, o carregamento principal que o grupo distribuía era exatamente o EggJagger.

Como o ataque troca o endereço copiado

O EggJagger monitora a área de transferência do sistema. Quando alguém copia um endereço de bitcoin ou de ethereum para fazer um pagamento, o programa substitui silenciosamente a sequência copiada por um endereço controlado pelo operador do botnet.

No momento do envio está o perigo. A pessoa acha que está pagando o destinatário correto, cola o endereço na plataforma e manda os fundos para o lugar errado.

A CrowdStrike estima que o operador tenha roubado o equivalente a pelo menos 12,1 milhões de rublos em criptomoedas por esse método, algo em torno de US$ 150 mil. A carteira que nunca chegou a ser gasta chegou a valer cerca de 147 milhões de rublos em janeiro de 2025.

Desativar o botnet não apaga o problema para quem já tinha o software instalado.

Isso porque a operação atacou justamente o canal de comunicação. A CrowdStrike manipulou as listas de contatos das máquinas infectadas, removendo os endereços legítimos e inserindo servidores controlados pela própria empresa, conhecidos como sumidouros. Dessa forma, os computadores comprometidos perderam o contato com o operador e deixaram de receber instruções de download e transferência de novos arquivos.

O que já estava gravado no disco das máquinas, no entanto, permaneceu intacto. Para cada computador comprometido, a remoção do programa passou a ser uma ação local, que nenhuma operação externa executa pelo dono do aparelho.

Por que a desativação não eliminou o malware

Há ainda um detalhe que torna a limpeza mais delicada. O Sality é um infectador de arquivos, ou seja, se anexa a programas executáveis e se espalha por pastas compartilhadas na rede, por dispositivos de armazenamento removíveis e por serviços de troca de arquivos. Uma infecção podia se reproduzir sem depender de novas campanhas de phishing ou de falhas de navegador, o que explica parte da longevidade da ameaça.

Exatamente por isso, os arquivos contaminados representam um problema separado das conexões de rede que a operação conseguiu cortar.

Em paralelo, o Departamento de Justiça anunciou a apreensão de domínios ligados ao Sality nos Estados Unidos, enquanto autoridades da Bulgária, da Hungria e da Romênia tomaram ações contra endereços adicionais hospedados na Europa. A fundação Shadowserver passou a trabalhar com provedores de internet e equipes de resposta a incidentes para identificar infecções, notificar vítimas e apoiar a remoção do malware.

O passo seguinte depende de cada situação, porque nem todo computador comprometido responde à mesma correção.

O que fazer para remover a infecção

Para administradores de rede, a CrowdStrike recomenda revisar registros e telemetria em busca de tráfego UDP direcionado ao endereço 188.166.101.148. Uma correspondência indica uma infecção pelo Sality que exige remediação, e o relatório técnico traz regras de detecção para examinar os processos em execução.

Ao usuário final, a orientação é mais direta. Quem desconfia de ter sido infectado precisa remover o malware do aparelho, porque a desativação do botnet não limpa a máquina nem impede que o EggJagger troque o endereço copiado na hora do pagamento.

A operação tirou do operador o controle da rede, mas devolveu a cada dono de computador comprometido a responsabilidade de fechar a porta que ficou aberta. Quem envia criptomoedas com frequência faz bem em conferir o endereço completo antes de confirmar o pagamento, mesmo quando copiou de um contato de confiança, porque a substituição acontece justamente na etapa de colar uma sequência que veio de uma fonte conhecida.