CrowdStrike et plusieurs autorités internationales ont neutralisé Sality, un botnet actif depuis 2003. Plus de 15 000 machines infectées pouvaient recevoir des logiciels malveillants destinés notamment à détourner des paiements en cryptomonnaies.

L’opération s’est déroulée le 31 août 2026. Elle réunissait le ministère américain de la Justice, le FBI, le DCIS, CrowdStrike et la Shadowserver Foundation.

Les autorités des États-Unis, de Bulgarie, de Hongrie et de Roumanie ont également agi contre des domaines liés à Sality. Europol et Eurojust ont participé à la coordination.

📖 À lire aussi : Les piratages crypto dépassent 3,4 milliards $ en 2025

Des adresses crypto remplacées

Depuis environ huit ans, Sality diffusait principalement EggJagger. Ce logiciel surveillait le presse-papiers des appareils infectés.

Lorsqu’une victime copiait une adresse Bitcoin ou Ethereum, EggJagger la remplaçait par celle du cybercriminel. La transaction était ensuite envoyée vers le mauvais wallet.

CrowdStrike estime qu’EggJagger a détourné au moins 12,1 millions de roubles, soit environ 150 000 dollars. Cette estimation ne couvre pas les autres logiciels diffusés par Sality.

La valeur des cryptomonnaies restées sur les adresses associées aurait culminé à environ 147 millions de roubles en janvier 2025. Cela représentait alors près de 1,35 million de dollars.

Un réseau actif depuis 2003

Sality infectait les fichiers exécutables et se propageait par les réseaux partagés, les supports amovibles et le partage de fichiers. Ses versions 3 et 4 formaient deux réseaux incompatibles, mais contrôlés par le même acteur.

Le botnet utilisait une architecture pair-à-pair, ou P2P. Les machines contaminées communiquaient directement entre elles, sans dépendre d’un serveur central facile à saisir.

Sality permettait aussi de distribuer différents outils malveillants :

• des logiciels de vol d’identifiants ;
• des outils d’envoi de spam ;
• des services proxy illégaux ;
• des programmes d’exploitation de réseaux ;
• des outils destinés aux attaques par déni de service distribué, ou DDoS.

CrowdStrike a notamment identifié trois campagnes DDoS. Elles ont visé un forum financier arabophone en avril 2016, un forum ukrainien le 25 février 2022 et la plateforme crypto russe AvanChange en septembre 2023.

Comment Sality a été neutralisé

CrowdStrike a exploité une faiblesse du protocole. Les machines infectées acceptaient de nouveaux participants sans vérifier leur identité.

Les chercheurs ont progressivement retiré les machines légitimes des listes de connexion du botnet. Ils les ont remplacées par des serveurs contrôlés, appelés « sinkholes ».

Les appareils infectés ne peuvent donc plus recevoir de nouvelles instructions de l’opérateur. Les autorités ont parallèlement saisi ou désactivé plusieurs domaines utilisés pour télécharger les charges malveillantes.

Les machines restent infectées

Cette opération coupe le canal de commande, mais elle ne supprime pas automatiquement les logiciels déjà installés. Les appareils compromis doivent encore être identifiés et nettoyés.

CrowdStrike indique qu’un trafic UDP vers l’adresse neutralisée 188.166.101[.]148 révèle une infection. L’entreprise a également publié des règles YARA pour détecter les versions 3 et 4 de Sality.

La Shadowserver Foundation travaille désormais avec les fournisseurs d’accès et les équipes de réponse aux incidents. Leur objectif consiste à identifier les victimes et à faciliter la désinfection.

L’identité de l’opérateur n’a pas été rendue publique. Aucune arrestation n’a été annoncée dans les sources consultées. Il s’agit donc d’une neutralisation technique du botnet, et non de la disparition garantie de la menace.

🔍 DUC, mon avis

Cette opération rappelle une règle essentielle : il faut toujours vérifier l’adresse affichée avant de valider une transaction. Un wallet sécurisé ne protège pas contre un presse-papiers compromis. La neutralisation de Sality constitue une avancée majeure. Cependant, les machines infectées restent dangereuses tant qu’elles ne sont pas nettoyées. L’absence d’arrestation laisse aussi la possibilité d’une nouvelle infrastructure.

✍️ DUC
Sources : CrowdStrike · Département américain de la Justice · CoinDesk

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC