Cette semaine, Microsoft a publié une alerte concernant un « Crypto Clipper », c'est-à-dire un malware qui change les adresses de crypto-monnaie des victimes en adresses des attaquants lorsqu'elles sont collées (CTRL+V).
Selon les experts, la menace affecte les utilisateurs des systèmes d'exploitation Windows depuis février 2026, se propageant via des périphériques USB et utilisant ensuite Tor pour communiquer.
Bien que la menace ne soit pas nouvelle, le texte rappelle aux utilisateurs de vérifier attentivement les adresses de destination de leurs transactions.
Clipper a attiré l'attention de Microsoft pour ne pas s'appuyer sur un installateur traditionnel
Le rapport de Microsoft souligne que le malware est composé de deux composants : un ver qui assure la propagation des informations et un infostealer qui collecte et exfiltre les informations des portefeuilles de cryptomonnaies.
En bref, le clipper surveille le presse-papiers (CTRL+C) toutes les 0,5 secondes pour les adresses, les phrases de départ et les clés privées des crypto-monnaies.
« Il détourne également les adresses de crypto-monnaie en remplaçant les valeurs de portefeuille copiées par des alternatives contrôlées par les attaquants et envoie des captures d'écran via Tor. »
Le malware serait distribué via des périphériques USB via des raccourcis avec l'extension « .lnk » qui préparent un composant du ver sous la forme d'un exécutable.
« La charge utile .lnk analyse le périphérique USB à la recherche de fichiers de documents courants tels que .doc, .xlsx et .pdf, masque les fichiers originaux et crée des raccourcis .lnk supplémentaires avec les mêmes noms de fichiers. Ces raccourcis sont configurés avec des arguments qui pointent vers la charge utile du ver. L'utilisateur final ne se rend pas compte qu'il lance un exécutable lors de l'ouverture des fichiers .lnk. «
Pour contourner les processus de défense, le malware utilise des méthodes avancées d’obscurcissement.
« L'exemple intègre également une vérification anti-analyse de base en interrogeant la classe WMI Win32_Process et en mettant fin à l'exécution si le Gestionnaire des tâches est détecté. Bien que simple, ce mécanisme peut rendre l'inspection manuelle difficile et retarder les efforts de tri initiaux. »
Ensuite, les experts expliquent que la partie commande et contrôle se fait via Tor, acheminé via l'adresse IP locale 127.0.0.1:9050.
« Vol de presse-papiers ciblant des phrases de départ, des clés et des adresses de portefeuille ; une capture d'écran via PowerShell offre une visibilité opérationnelle. »
Comment se protéger de cette attaque ?
Dans les cas où les adresses sont remplacées lors du copier-coller, les utilisateurs doivent vérifier si l'adresse correspond à l'original. De plus, Microsoft a publié une liste d'autres recommandations de sécurité.
- Désactivez AutoRun/AutoPlay pour tous les supports amovibles ;
- Bloquer l'exécution de .lnk à partir de lecteurs amovibles via GPO ;
- Limiter l'utilisation inutile de wscript.exe, cscript.exe et des hôtes de script similaires autant que possible ;
- Examiner et activer les règles pertinentes de réduction de la surface d'attaque, en particulier celles axées sur l'exécution de scripts obscurcies et le comportement suspect des processus enfants ;
- Examiner les chaînes de scripts réseau impliquant curl, PowerShell ou cmd.exe ;
Recherchez l'activité du proxy SOCKS5 local sur localhost:9050 ; - Examinez les comportements liés au presse-papiers et aux captures d’écran sur les appareils qui gèrent des flux financiers sensibles.
À ce jour, il n’existe aucune information sur les pertes financières liées à cette attaque.
Voir l’article original en portugais
