CrowdStrike, en collaboration avec les forces de l’ordre américaines et européennes, a annoncé le 2 septembre 2026 avoir démantelé le botnet Sality, un réseau malveillant opérant depuis la Russie et actif depuis 2003. Cette opération a permis de couper plus de 15 000 machines infectées du réseau peer-to-peer du botnet, qui dérobait des cryptomonnaies depuis environ huit ans.
🔑 En bref
- Le botnet Sality, actif depuis 2003, a dérobé au moins 150 000 $ en BTC et ETH sur 8 ans via des attaques de détournement de presse-papiers
- CrowdStrike a exploité une faille du protocole P2P pour isoler plus de 15 000 machines infectées
- Une cooperation internationale entre le DOJ, le FBI et les polices bulgare, hongroise et roumaine a permis le démantèlement
- La valeur potentielle des actifs volés a atteint 1,35 million de dollars au pic de janvier 2025
Origines et évolution du botnet Sality
Sality a été observé pour la première fois en 2003 en tant que logiciel malveillant de distribution de programmes via des partages réseau et des clés USB. Après plus de quinze ans d’activité, le groupe derrière le botnet a orienté ses activités vers le vol de cryptomonnaies. Depuis environ huit ans, le payload principal du botnet, désigné sous le nom de EggJagger par CrowdStrike, effectuait ce que les experts appellent une « attaque de détournement de presse-papiers ». Le malware surveillait le presse-papiers des machines infectées et, dès qu’un texte ressemblant à une adresse de portefeuille Bitcoin (BTC) ou Ethereum (ETH) était détecté, il remplaçait automatiquement cette adresse par une adresse contrôlée par les attaquants. Un utilisateur qui collait ensuite l’adresse dans son portefeuille envoyait ainsi ses fonds vers le pirate, sans aucun avertissement.
Estimation des pertes et valorisation des actifs volés
Selon les estimations de CrowdStrike, cette technique a permis de dérober au moins 12,1 millions de roubles, soit environ 150 000 dollars, sur une période de huit ans. Une grande partie des cryptomonnaies volées n’a pas été touchée ; leur valeur a ensuite grimpé avec la hausse des cours, atteignant environ 1,35 million de dollars (soit 147 millions de roubles) au pic de janvier 2025. Ce montant reflète la valeur potentielle des actifs conservés par les attaquants plutôt que les bénéfices effectivement encaissés.
| Période | Montant volé (estimation) | Équivalent USD |
|---|---|---|
| 8 ans d’activité (2018-2026) | 12,1 millions RUB | ~150 000 $ |
| Valeur au pic (janvier 2025) | 147 millions RUB | ~1,35 million $ |
Architecture décentralisée et méthode de démantèlement
Le botnet Sality se distinguait par son architecture décentralisée : il ne disposait pas de serveur central pouvant être saisi. Les machines infectées communiquaient directement entre elles, vérifiant toutes les 40 minutes si leurs pairs étaient toujours en ligne. Le malware se propageait en s’attachant à des programmes partagés sur des lecteurs réseau et des périphériques USB, se régénérant sans intervention de l’opérateur. Cette conception rendait le réseau résilient et difficile à démanteler par les méthodes traditionnelles.
« Any computer that responded in the expected way was treated as part of the botnet, with no further identity check. »
CrowdStrike, rapport technique
Le succès de l’opération repose sur une faiblesse du protocole de communication du botnet. CrowdStrike a exploité le fait que le botnet ne vérifiait pas l’identité des nœuds communicants : toute machine répondant de manière attendue était automatiquement considérée comme un pair légitime, sans autre contrôle. En remplaçant les adresses des pairs légitimes par ses propres serveurs, la société a réussi à isoler plus de 15 000 machines infectées, privant ainsi les opérateurs de leur capacité à envoyer de nouvelles commandes ou des charges utiles malveillantes.
Coordination internationale et implications pour les utilisateurs
L’action a été coordonnée au niveau international. Le département américain de la Justice (DOJ) et le FBI ont travaillé conjointement avec les forces de l’ordre de la , de la Hongrie et de la Roumanie. Les polices des quatre pays ont saisi simultanément l’infrastructure associée au botnet. Le DOJ a déclaré que l’opération était basée en Russie.
« L’attaque est suffisamment simple pour que la plupart des utilisateurs de crypto soient exposés »
CrowdStrike, rapport sur EggJagger
La société a recommandé aux utilisateurs de vérifier systématiquement les premiers et derniers caractères d’une adresse de portefeuille après l’avoir collée, afin de détecter tout remplacement malveillant. Elle a également conseillé l’utilisation d’un logiciel antivirus à jour pour protéger les appareils.
Divergence de nomination et enseignements
Une discrepancy existe dans la désignation du module malveillant. Alors que CrowdStrike et plusieurs sources le nomment EggJagger, le site CoinNess le désigne sous le nom d’Egregor. Cette différence de nom ne modifie pas le fonctionnement du logiciel, mais illustre les difficultés de nomination dans le paysage de la cybersécurité.
Perspective et conclusion
Le démantèlement de Sality montre que même les infrastructures criminelles décentralisées et actives depuis plus de vingt ans peuvent être compromises grâce à la coopération entre le secteur privé et les autorités. Il souligne également l’importance pour les utilisateurs de cryptomonnaies de vérifier attentivement les adresses de portefeuille lors de chaque transaction, la sécurité des appareils étant aussi cruciale que celle des clés privées.
À ce jour, aucune réaction majeure du marché des cryptomonnaies n’a été rapportée à la suite de cette annonce. Les cours du Bitcoin et de l’Ethereum sont restés relativement stables dans les heures suivant la publication de l’information, selon les données de marché disponibles. Plusieurs scénarios restent possibles : une pression vendeuse accrue si d’autres opérations similaires sont annoncées, ou une stabilisation autour des niveaux actuels en l’absence de nouveaux développements.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
