Microsoft segnala un crypto clipper per Windows che ruba seed phrase, chiavi e portafogli attraverso Tor e chiavette USB

Microsoft ha segnalato un programma malevolo che opera in silenzio da febbraio e colpisce le macchine Windows. Il programma malevolo, ribattezzato CryptoBandits, può rubare seed phrase, chiavi e portafogli attraverso la rete Tor ed è trasferibile tramite chiavette USB. 

In un blog post pubblicato il 17 giugno, gli esperti di Microsoft Threat Intelligence e Microsoft Defender hanno esposto una campagna malevola che ha prosciugato i portafogli crypto senza che le vittime se ne accorgessero. Gli esperti di sicurezza di Microsoft hanno delineato una combinazione di vecchie tattiche di worm USB e strumenti di anonimato moderni che hanno reso il programma malevolo non rilevabile per mesi.

Secondo i ricercatori, la campagna malevola potrebbe eseguire il furto degli appunti, la sostituzione degli indirizzi del portafoglio, la diffusione simile a un worm e la comunicazione basata su Tor in un singolo programma. Il programma ha anche mantenuto l'accesso alla macchina locale molto tempo dopo l'esecuzione del codice malevolo. 

Microsoft spiega come si esegue l'infezione

Il dettagliato post del blog di Microsoft ha rivelato che l'infezione è iniziata nel vecchio modo, tramite una chiavetta USB. Il malware ha quindi accesso ai file di scorciatoia depositati nelle unità rimovibili. Una volta collegato a una macchina, il componente worm si attiva immediatamente. 

Il componente worm cerca file ordinari come DOC, fogli di calcolo e PDF sul dispositivo, nasconde quelli reali e li sostituisce con scorciatoie false che hanno gli stessi nomi. Una volta fatto questo, gli utenti Windows ignari fanno clic sulle scorciatoie, pensando di aprire il tipico file Word o Excel, ma invece l'azione attiva il malware.

Il malware si diffonde quindi all'unità USB della macchina e imposta attività pianificate per mantenerlo in esecuzione dopo un riavvio, ed esclude se stesso dagli scansioni di Microsoft Defender. 

Quando il clipper effettivo viene attivato nella seconda fase, il payload basato su script fa affidamento su Windows ScriptHost e oggetti Active X piuttosto che su un installer tipico, rendendolo estremamente difficile da rilevare. 

Una volta impostato tutto, il malware avvia un client Tor in una finestra nascosta e genera un ID vittima unico, registrandosi con un server di comando e controllo nascosto dietro un indirizzo onion Tor. In questo modo, il malware può canalizzare con successo le informazioni attraverso quel canale nascosto senza essere rilevato. 

Microsoft sul motivo per cui questo malware è più difficile da catturare

Il team di sicurezza di Microsoft ha spiegato che il malware si stabilisce in un ciclo, interrogando i suoi operatori e scansionando gli appunti circa ogni mezzo secondo. Il programma è specificamente sviluppato per riconoscere seed phrase BIP39 di 12 o 24 parole. 

Il malware scansiona le chiavi Ethereum e Bitcoin le chiavi private in formato WIF, salva un backup locale e lo invia ai server degli attaccanti attraverso la rete Tor. È progettato per ritentare la stessa sequenza di eventi più volte fino a quando l'invio non va a buon fine. Il programma quindi elimina la copia locale, solo dopo un invio riuscito, e scatta più screenshot ogni secondo, dando agli attaccanti una lettura visiva del saldo e dell'attività del portafoglio della vittima. 

Se un indirizzo del portafoglio appare negli appunti, il malware può scambiarlo con uno controllato dall'attaccante prima che la vittima lo incollì. Copia un indirizzo Bitcoin per inviare un pagamento, e ciò che atterra effettivamente nel campo di destinazione potrebbe appartenere a qualcun altro completamente.

Microsoft Defender Antivirus ora segnala la minaccia come Trojan:Win32/CryptoBandits.A, e Defender for Endpoint monitora comportamenti come processi JavaScript sospetti ed esfiltrazione di dati basata su curl.