Sality botnetine yönelik uluslararası operasyon

ABD'de kripto hırsızlığında kullanıldığı belirtilen Sality botneti ve buna bağlı zararlı yazılıma karşı operasyon düzenlendi. ABD Adalet Bakanlığı, Salı günü yayımladığı duyuruda, Bulgaristan, Macaristan ve Romanya'daki yetkililer ile özel sektör ortakları CrowdStrike ve Shadowserver Foundation'ın desteğiyle ağın işleyişinin kesintiye uğratıldığını açıkladı.

Yetkililere göre Sality, 2003 yılından bu yana ele geçirilen cihazlara zararlı yazılım yüklemek için kullanılıyordu. Açıklamada, bu altyapının hem kripto varlık hırsızlığı hem de farklı siber saldırılarla bağlantılı olduğu belirtildi.

Operasyon kimlerle yürütüldü?

Soruşturma, kamu kurumları ile siber güvenlik şirketlerinin ortak çalışmasıyla yürütüldü. Dosyada yer alan bilgilere göre hedef alınan yapı, uluslararası ölçekte çalışan ve enfekte cihazları eşler arası bir ağ içinde bir araya getiren bir botnet mekanizmasına dayanıyordu.

Zararlı yazılım cüzdan adreslerini nasıl değiştiriyordu?

CrowdStrike'ın değerlendirmesine göre Sality'nin arkasındaki yapı, son sekiz yılda EggJagger adlı bir clipjacking aracını kullandı. Bu araç, kullanıcıların panoya kopyaladığı kripto cüzdan adreslerini izliyor ve bunları saldırganların kontrol ettiği adreslerle sessizce değiştiriyordu.

Bu yöntem, özellikle Bitcoin ve Ethereum transferlerinde kullanıcı fark etmeden ödemenin başka bir cüzdana yönlenmesine yol açıyordu. Şirkete göre söz konusu yöntemle en az 12,1 milyon ruble, yani yaklaşık 150.000 dolar tutarında kripto varlık çalındı.

Rakamlar ne söylüyor?

CrowdStrike, harcanmamış dijital varlıkların değerinin Ocak 2025'te yaklaşık 1,5 milyon dolar ile zirve yaptığını bildirdi. Bu veri, küçük tutarlı görünen adres değiştirme saldırılarının zaman içinde önemli bir finansal büyüklüğe ulaşabildiğini gösteriyor.

Öne çıkan veriler

  • Botnetin parçası olduğu belirtilen enfekte cihaz sayısı yaklaşık 15.000.
  • Ağın, sistemlerin çevrim içi olup olmadığını her 40 dakikada bir kontrol ettiği aktarıldı.
  • Kripto hırsızlığıyla ilişkilendirilen faaliyet dönemi son sekiz yılı kapsıyor.

Müdahalenin sonucu ne oldu?

ABD'li yetkililer ve CrowdStrike, yürütülen çalışmanın ardından Sality'nin arkasındaki kişilerin enfekte makinelerle iletişim kurma kabiliyetini kaybettiğini bildirdi. Böylece adres değiştirme yoluyla yapılan kripto hırsızlığında kullanılan altyapının önemli bir bölümünün devre dışı bırakıldığı açıklandı.

Dosya, kripto transferlerinde kopyala-yapıştır alışkanlığını hedef alan zararlı yazılımların doğrudan parasal kayba neden olabildiğini bir kez daha ortaya koydu. Aynı zamanda operasyon, sınır ötesi siber suçlarla mücadelede kamu otoriteleri ile özel sektör iş birliğinin giderek daha belirleyici hale geldiğini gösterdi.