Les chercheurs de Microsoft ont identifié des logiciels malveillants qui se propagent via les périphériques USB (ver) et interceptent le contenu du presse-papiers (clipper) pour voler des crypto-monnaies. Crypto Clipper exploiter le réseau Tor comme moyen de communication pour masquer le trafic réseau. La société de Redmond a fourni quelques suggestions pour limiter les risques, notamment la désactivation de la lecture automatique pour les lecteurs amovibles.
Description de Crypto Clipper
Microsoft explique que la chaîne d'infection commence lorsque l'utilisateur exécute un fichier .lnk présent sur une clé de stockage USB. Le est ensuite téléchargé composant de ver de Crypto Clipper depuis un serveur distant. Après avoir analysé le périphérique USB, il masque les fichiers originaux et crée des fichiers .lnk avec le même nom, de sorte que la victime sans méfiance ne se rend pas compte qu'elle va exécuter le malware.
Ils sont ensuite téléchargés composant clipper/voleur et deux fichiers JavaScript qui aident à assurer la persistance en créant des tâches planifiées, dont l'une est utilisée pour propager l'infection lorsqu'un lecteur amovible est connecté.
Parmi les fichiers téléchargés, il y a aussi un Client Tor (ugate.exe). Au lieu d'une infrastructure traditionnelle avec des adresses IP, les cybercriminels exploitent les domaines .onion pour masquer la destination finale, c'est à dire le serveur C2 (commande et contrôle) qui recevra les données volées au clipper.
Crypto Clipper s'exécute en mémoire (pas de trace sur le disque) et analyse le presse-papiers toutes les 500 millisecondes pour intercepter les phrases de départ et les clés privées des portefeuilles de crypto-monnaie, notamment Bitcoin, Ethereum, Monero et Tron. Les adresses des portefeuilles sont alors remplacées par celles des cybercriminels. Le malware prend également 5 captures d'écran toutes les 10 secondes.
Microsoft recommande de désactiver la lecture automatique et de bloquer l'exécution des fichiers .lnk à partir de lecteurs amovibles. Les différentes versions de Defender ont été mises à jour afin de pouvoir détecter et bloquer les logiciels malveillants.
Voir l’article original en italien
