司法部与 CrowdStrike 周二宣布，已 disrupt Sality 这一自 2003 年运行的点对点僵尸网络。过去八年里，其主要负载为 EggJagger，该恶意软件会替换受害者剪贴板中复制的加密货币钱包地址。CrowdStrike 估计，仅通过该负载就至少窃取了 15 万美元，且未花费的资产后来峰值更高。
Sality 僵尸网络自 2003 年起流通，在过去八年中通过重写受感染计算机上的钱包地址来劫持加密货币支付。Sality 本身除传递其他载荷外无所作为，其八年来的主要货物是 EggJagger，CrowdStrike 称其为“监控剪贴板以查找加密货币钱包地址并替换为操作者自有地址的剪贴板劫持工具”。受害者复制比特币或以太坊地址付款时，资金将发送至陌生人账户。
一项名为 Sality 的多国破坏行动今日宣布，涉及美国、保加利亚、匈牙利和罗马尼亚的行动，并与私营行业合作伙伴 CrowdStrike 合作。
CrowdStrike 将来自 EggJagger 的盗窃所得最低估算为 1210 万卢布（约 15 万美元）。在 EggJagger 之前，该僵尸网络通过传递凭据窃取、垃圾邮件、代理服务及拒绝服务载荷来获利。
关于操作者从未花费的被盗硬币，它们大多被 untouched，这反而成了更盈利的决定。CrowdStrike 估值该未花费组合在 2025 年 1 月达到峰值约 1.47 亿卢布，名义上为 135 万美元，或相当于西方首都约 400 万美元的购买力。
Sality 自 2003 年以来得以存活，是因为它没有可被查封的中央服务器。受感染机器相互直接通信，恶意软件通过附着在网络共享和可移动驱动器上传递的可执行文件进行传播，无需操作者费力即可再生。
该架构也是入侵途径。僵尸网络接受任何正确完成握手并可到达的机器，不对加入者身份进行核查。CrowdStrike 的反对手行动团队利用这一访问权限，从每台僵尸网络的地址列表中清除合法对等节点并插入自己的 sinkholes，从而在全球范围内隔离了超过 15,000 台机器。
美国司法部、联邦调查局和国防刑事调查局查封了与 Sality 相关的域名，而保加利亚、匈牙利和罗马尼亚的警察则在欧洲捣毁了其他节点。Shadowserver 基金会正与互联网服务提供商合作通知受害者。
CrowdStrike 追踪的操作者被称为 SALTY SPIDER，偶尔会将僵尸网络转向自己的目标。2023 年 9 月的一次拒绝服务载荷袭击了俄罗斯加密货币交易所 AvanChange，且编译时间仅在上传前几秒，CrowdStrike 将其解读为对个人不满的冲动反应。该公司认为操作者使用此类交易所将被盗硬币兑换为现金。
目前，受感染机器向 CrowdStrike 控制的 sinkholes 报告而非其所有者。该公司已发布检测规则和Network 指标，并警告说，已驻留在这些机器上的恶意软件在被移除前仍保持活跃。