Après 23 ans de fuite et 8 ans de vols de Bitcoin, le botnet Sality enfin détruit

C’est un séisme dans le monde de la cybersécurité : l’un des réseaux de machines infectées les plus anciens et les plus tenaces de l’histoire vient de rendre les armes. Imaginez un fantôme numérique capable de rester dans l’ombre pendant 23 ans, changeant de forme et de cible au gré des évolutions technologiques. Après une fuite en avant qui aura duré plus de deux décennies, le botnet Sality a enfin été neutralisé.

Ce réseau malveillant, véritable relique du Web des années 2000, avait réussi l’exploit de s’adapter à l’ère moderne en s’attaquant directement à vos portefeuilles de cryptomonnaies. Pendant huit ans, il a orchestré des vols massifs de bitcoin et d’Ethereum avec une discrétion absolue, transformant chaque copier-coller en un risque financier majeur. La destruction de cette infrastructure par une coalition internationale marque une victoire historique contre le cybercrime organisé.

La fin d’une ère : Comment Sality a échappé à la justice pendant deux décennies

Le maliciel Sality n’était pas un virus ordinaire. Né en 2003, il a survécu à l’effondrement de géants du web, à l’avènement des réseaux sociaux et à l’explosion de la blockchain. Sa force résidait dans son architecture décentralisée en pair-à-pair (P2P), ce qui le rendait quasiment impossible à décapiter. Contrairement aux réseaux classiques, il n’avait pas de serveur central unique que les autorités pouvaient simplement débrancher.

Pour mettre fin à cette cavale, il a fallu une traque mondiale coordonnée par CrowdStrike, le FBI, le DOJ et plusieurs polices européennes. L’opération a consisté à « empoisonner » le réseau pour isoler les machines infectées. En ce début d’année 2026, on estime que plus de 15 000 ordinateurs ont été libérés de l’emprise de ce programme, mettant un terme définitif à ses activités de piratage à grande échelle.

Une opération internationale de grande envergure

Le démantèlement n’a pas été une mince affaire. Les enquêteurs ont dû infiltrer les communications secrètes entre les machines pour comprendre comment le botnet se propageait. En utilisant des techniques de « sinkholing », les experts en cybersécurité ont réussi à rediriger le trafic malveillant vers des serveurs contrôlés par la justice.

Cette victoire montre que même les menaces les plus persistantes ne sont pas invulnérables. Ce succès repose sur une coopération sans faille entre le secteur privé et les forces de l’ordre. Pour en savoir plus sur les détails techniques, vous pouvez consulter le rapport sur le démantèlement de l’un des plus vieux botnets au monde.

EggJagger : Le maliciel qui murmurait à l’oreille de votre presse-papiers

Comment Sality a-t-il pu dérober autant de fonds sans jamais se faire repérer ? La réponse tient en un mot : EggJagger. Ce module spécialisé utilisait une technique redoutable appelée le clipjacking. Son principe est d’une simplicité effrayante. Le maliciel surveille en permanence le presse-papiers de votre ordinateur, attendant que vous copiiez une adresse de portefeuille crypto.

Dès qu’une adresse bitcoin ou Ethereum est détectée, EggJagger la remplace instantanément par une adresse appartenant aux pirates. L’utilisateur, pensant envoyer ses fonds à un proche ou à une plateforme d’échange, valide la transaction sans se douter que l’adresse a été modifiée à la volée. C’est ainsi que des millions ont été détournés en toute discrétion depuis 2018.

Voici les caractéristiques principales qui rendaient ce système si dangereux :

• 🚀 Discrétion totale : Aucune fenêtre contextuelle ou ralentissement visible sur la machine.
• 🎯 Ciblage précis : Le module ne s’activait que pour des formats d’adresses spécifiques.
• 🔄 Mise à jour constante : Les adresses des pirates étaient régulièrement renouvelées pour éviter le blacklistage.
• 🔗 Propagation autonome : Capacité à infecter les clés USB et les partages réseau pour toucher de nouvelles victimes.

Un butin qui donne le tournis

Les chiffres confirmés par CrowdStrike parlent d’eux-mêmes. Rien qu’avec le payload EggJagger, le préjudice est estimé à plus de 150 000 dollars. Cependant, l’analyse des portefeuilles dormants suggère que le montant réel pourrait être bien plus élevé, certains avoirs n’ayant jamais été réclamés par les opérateurs de Sality suite à la pression constante des autorités ces derniers mois.

Cette affaire rappelle l’importance cruciale de vérifier chaque caractère d’une adresse avant de cliquer sur « envoyer ». Un seul instant d’inattention peut réduire vos économies à néant. Pour comprendre l’ampleur du phénomène, découvrez comment Sality a volé du Bitcoin pendant 8 ans avant sa chute finale.

Le bilan d’une traque historique

La fin de Sality n’est pas seulement une victoire technique, c’est un message fort envoyé aux cybercriminels du monde entier. Le tableau ci-dessous résume l’impact de ce réseau avant sa mise hors service définitive par les forces alliées.

Indicateur	Données Clés 📊
Durée d’activité totale	23 ans (2003 – 2026) ⏳
Période de vols crypto	8 ans (depuis 2018) 💰
Machines isolées	+ 15 000 ordinateurs 💻
Méthode de vol	Clipjacking (EggJagger) 📋
Pays impliqués dans l’enquête	USA, Bulgarie, Hongrie, Roumanie 🌍

Malgré la destruction de ce réseau, la menace ne disparaît pas totalement. Le code source de certains modules pourrait être réutilisé par d’autres groupes criminels. La vigilance reste votre meilleure arme. En 2026, la protection de vos actifs numériques passe par une hygiène informatique rigoureuse et l’utilisation de solutions de sécurité avancées.

Le démantèlement de Sality prouve que la justice finit toujours par rattraper ceux qui pensent être intouchables derrière leurs écrans. Restez informés et protégez vos transactions, car si ce géant est tombé, d’autres opportunistes attendent déjà dans l’ombre du Web.

Comment savoir si mon ordinateur a été infecté par Sality ?

Les signes d’infection par Sality sont souvent invisibles, mais une vérification systématique de vos adresses copiées-collées est le premier test. Si l’adresse change entre le moment où vous la copiez et celui où vous la collez, votre machine est compromise par un clipjacker.

Pourquoi le démantèlement a-t-il pris 23 ans ?

Sality utilisait une architecture pair-à-pair (P2P) décentralisée, ce qui signifie qu’il n’avait pas de serveur central facile à cibler. Sa longévité s’explique par sa capacité à muter et à se propager de manière autonome via des supports physiques et des réseaux locaux.

Mes fonds volés peuvent-ils être récupérés ?

Malheureusement, les transactions sur la blockchain sont irréversibles. Une fois que le bitcoin est envoyé vers l’adresse d’un pirate, il est quasiment impossible de le récupérer, sauf si les autorités parviennent à saisir les clés privées des criminels, ce qui reste rare dans ce type d’opération.

Quelle est la meilleure protection contre le clipjacking ?

En plus d’un antivirus à jour, la règle d’or est de toujours vérifier visuellement les 5 premiers et 5 derniers caractères de l’adresse après l’avoir collée. L’utilisation de portefeuilles matériels (hardware wallets) avec vérification sur écran externe est également fortement recommandée.