Microsoft alerta sobre un clipper de criptomonedas de Windows que roba frases semilla, claves y carteras a través de Tor y unidades USB

Microsoft ha señalado un programa malicioso que ha estado operando en silencio desde febrero y que tiene como objetivo las máquinas Windows. El programa malicioso, apodado CryptoBandits, puede robar frases semilla, claves y carteras a través de la red Tor y es transferible mediante unidades USB. 

En un blog post publicado el 17 de junio, los expertos de Microsoft Threat Intelligence y Microsoft Defender expusieron una campaña maliciosa que ha estado drenando carteras de criptomonedas sin que las víctimas se dieran cuenta. Los expertos en seguridad de Microsoft describieron una mezcla de tácticas de gusanos USB tradicionales y herramientas de anonimato modernas que hicieron que el programa malicioso fuera indetectable durante meses.

Según los investigadores, la campaña maliciosa podría ejecutar el robo del portapapeles, la sustitución de direcciones de carteras, la propagación tipo gusano y la comunicación basada en Tor en un solo programa. El programa también mantuvo el acceso a la máquina local mucho después de que se ejecutara el código malicioso. 

Microsoft explica cómo se ejecuta la infección

El detallado blog de Microsoft reveló que la infección comenzó de la manera antigua, a través de una memoria USB. El malware luego accedió a los archivos de acceso directo depositados en unidades extraíbles. Una vez conectado a una máquina, el componente gusano se activa inmediatamente. 

El componente gusano busca archivos ordinarios como DOCs, hojas de cálculo y PDFs en el dispositivo, oculta los reales y los reemplaza con accesos directos falsos que llevan los mismos nombres. Una vez hecho esto, los desprevenidos usuarios de Windows hacen clic en los accesos directos, pensando que están abriendo un archivo típico de Word o Excel, pero en cambio, la acción activa el malware.

El malware luego se propaga a la unidad USB de la máquina y configura tareas programadas para mantenerse ejecutando después de un reinicio, y se excluye de los escaneos de Microsoft Defender. 

Cuando el clipper real se activa en la segunda fase, la carga útil basada en scripts depende de Windows ScriptHost y objetos Active X en lugar de un instalador típico, lo que lo hace extremadamente difícil de detectar. 

Una vez que todo está configurado, el malware lanza un cliente Tor en una ventana oculta y genera un ID de víctima único, registrándose con un servidor de comando y control oculto detrás de una dirección onion de Tor. De esta manera, el malware puede canalizar con éxito la información a través de ese canal oculto sin ser detectado. 

Microsoft sobre por qué este malware es más difícil de detectar

El equipo de seguridad de Microsoft explicó que el malware se establece en un bucle, consultando a sus operadores y escaneando el portapapeles aproximadamente cada medio segundo. El programa está específicamente desarrollado para reconocer frases semilla BIP39 de 12 o 24 palabras. 

El malware escanea en busca de claves de Ethereum y Bitcoin claves privadas en formato WIF, guarda una copia de seguridad local y la envía a los servidores de los atacantes a través de la red Tor. Está diseñado para reintentar la misma secuencia de eventos múltiples veces hasta que el envío sea exitoso. El programa luego elimina la copia local, solo tras un envío exitoso, y toma múltiples capturas de pantalla cada segundo, dando a los atacantes una lectura visual del saldo y la actividad de la cartera de la víctima. 

Si aparece una dirección de cartera en el portapapeles, el malware puede intercambiarla por una controlada por el atacante antes de que la víctima la pegue. Copia una dirección de Bitcoin para enviar un pago, y lo que realmente llega al campo de destino puede pertenecer a alguien completamente diferente.

Microsoft Defender Antivirus ahora señala la amenaza como Trojan:Win32/CryptoBandits.A, y Defender for Endpoint vigila comportamientos como procesos de JavaScript sospechosos y exfiltración de datos basada en curl.