Microsoft signale un clipper crypto Windows volant les phrases de récupération, les clés et les portefeuilles via Tor et des clés USB

Microsoft a signalé un programme malveillant opérant discrètement depuis février et ciblant les machines Windows. Ce programme, baptisé CryptoBandits, peut voler les phrases de récupération, les clés et les portefeuilles via le réseau Tor et se transférer via des clés USB. 

Dans un blog post publié le 17 juin, les experts de l'intelligence sur les menaces de Microsoft et de Microsoft Defender ont exposé une campagne malveillante qui a vidé les portefeuilles crypto sans que les victimes ne s'en rendent compte. Les experts en sécurité de Microsoft ont détaillé une combinaison de tactiques anciennes de ver USB et d'outils modernes d'anonymat ayant rendu le programme malveillant indétectable pendant des mois.

Selon les chercheurs, cette campagne malveillante pouvait exécuter le vol du presse-papier, le remplacement des adresses de portefeuille, la propagation de type ver et la communication basée sur Tor au sein d'un seul programme. Le programme conservait également un accès à la machine locale bien après l'exécution du code malveillant. 

Microsoft explique comment l'infection s'exécute

Le billet de blog détaillé de Microsoft a révélé que l'infection a commencé de manière traditionnelle, via une clé USB. Le malware accède ensuite aux fichiers de raccourci déposés sur les lecteurs amovibles. Une fois branché à un ordinateur, le composant ver active immédiatement. 

Le composant ver recherche des fichiers ordinaires tels que des documents DOC, des feuilles de calcul et des PDF sur l'appareil, cache les vrais fichiers et les remplace par de faux raccourcis portant les mêmes noms. Une fois cela fait, les utilisateurs Windows non avertis cliquent sur les raccourcis en pensant ouvrir un fichier Word ou Excel typique, mais cette action déclenche le malware.

Le malware se propage ensuite vers la clé USB de l'ordinateur, configure des tâches planifiées pour assurer son exécution après un redémarrage et s'exclut des analyses de Microsoft Defender. 

Lorsque le clipper réel est activé dans la deuxième phase, la charge utile basée sur un script s'appuie sur Windows ScriptHost et les objets Active X plutôt que sur un installateur classique, ce qui la rend extrêmement difficile à détecter. 

Une fois tout configuré, le malware lance un client Tor dans une fenêtre cachée, génère un identifiant unique pour la victime et s'enregistre auprès d'un serveur de commande et de contrôle dissimulé derrière une adresse onion Tor. De cette façon, le malware peut acheminer avec succès les informations via ce canal caché sans être détecté. 

Pourquoi ce malware est plus difficile à capturer, selon Microsoft

L'équipe de sécurité de Microsoft a expliqué que le malware s'installe dans une boucle, interrogeant ses opérateurs et analysant le presse-papiers environ toutes les demi-secondes. Le programme est spécifiquement conçu pour reconnaître les phrases semences BIP39 de 12 ou 24 mots. 

Le malware recherche des clés Ethereum et Bitcoin des clés privées au format WIF, sauvegarde une copie locale et l'envoie aux serveurs des attaquants via le réseau Tor. Il est conçu pour réessayer la même séquence d'événements à plusieurs reprises jusqu'à ce que l'envoi soit réussi. Le programme supprime ensuite la copie locale uniquement après un envoi réussi et prend plusieurs captures d'écran par seconde, offrant aux attaquants une lecture visuelle du solde et de l'activité du portefeuille de la victime. 

Si une adresse de portefeuille apparaît dans le presse-papiers, le malware peut la remplacer par une adresse contrôlée par l'attaquant avant que la victime ne la colle. Copiez une adresse Bitcoin pour envoyer un paiement, et ce qui atterrit réellement dans le champ de destination peut appartenir à quelqu'un d'autre.

Microsoft Defender Antivirus signale désormais cette menace sous le nom Trojan:Win32/CryptoBandits.A, et Defender for Endpoint surveille les comportements tels que les processus JavaScript suspects et l'exfiltration de données basée sur curl.