Microsoft、Windows クリップパーが Tor や USB ドライブを通じてシードフレーズ、鍵、ウォレットを盗むことを警告

Microsoft は、2 月以来静かに活動し、Windows マシンを対象としたマルウェアを特定しました。CryptoBandits と名付けられたこのマルウェアは、Tor ネットワークを通じてシードフレーズ、キー、ウォレットを盗むことができ、USB ドライブを介して伝播可能です。 

ブログ 投稿 6 月 17 日に公開された記事で、Microsoft Threat Intelligence と Microsoft Defender の専門家は、被害者が気づかないうちに暗号ウォレットから資金を流出させているマルウェアキャンペーンを暴露しました。Microsoft のセキュリティ専門家は、何ヶ月もの間マルウェアを検出不可能にした、古くからの USB ワーム戦術と現代の匿名化ツールの組み合わせを明らかにしました。

研究者によると、このマルウェアキャンペーンは、クリップボードの盗難、ウォレットアドレスの置換、ワームのような拡散、Tor ベースの通信を単一のプログラムに実行できます。また、マルウェアコードが実行された後も、ローカルマシンへのアクセスを保持します。 

Microsoft は感染の実行方法を説明します

Microsoft の詳細なブログ記事によると、感染は古風な方法、つまり USB スティックを介して始まりました。その後、マルウェアはリムーバブルドライブにドロップされたショートカットファイルにアクセスします。マシンに接続されると、ワームコンポーネントがすぐにアクティブになります。 

ワームコンポーネントは、デバイス上の DOC、スプレッドシート、PDF などの通常のファイルを狩り、本物を隠し、同じ名前の偽のショートカットに置き換えます。これが完了すると、無防備な Windows ユーザーは通常の Word や Excel ファイルを開いていると思い込んでショートカットをクリックしますが、代わりにマルウェアがトリガーされます。

その後、マルウェアはマシンの USB ドライブに自身を広げ、再起動後も実行を維持するためにスケジュールされたタスクを設定し、Microsoft Defender のスキャンから自身を除外します。 

2 番目のフェーズで実際のクリッパーがアクティブになると、スクリプトベースのペイロードは典型的なインストーラーではなく、Windows ScriptHost と Active X オブジェクトに依存するため、検出が極めて困難になります。 

すべての設定が完了すると、マルウェアは非表示ウィンドウで Tor クライアントを起動し、一意の被害者 ID を生成して、Tor アドレスの背後に隠されたコマンドアンドコントロールサーバーに登録します。これにより、マルウェアは検出されることなく、その非表示チャネルを介して情報を正常に送信できます。 

Microsoft はなぜこのマルウェアが捕まえにくいのかを説明します

Microsoft のセキュリティチームは、マルウェアがループに陥り、約 0.5 秒ごとにオペレーターにポーリングを実行し、クリップボードをスキャンしていると説明しました。このプログラムは、12 語または 24 語の BIP39 シードフレーズを認識するために特別に開発されています。 

マルウェアは Ethereum キーと ビットコイン WIF 形式の秘密鍵をスキャンし、ローカルバックアップを保存して、Tor ネットワークを介して攻撃者サーバーに送信します。送信が成功するまで、同じ一連のイベントを複数回再試行するように設計されています。プログラムはその後、ローカルコピーを削除し、1 秒間に複数のスクリーンショットを撮影し、攻撃者に被害者のウォレット残高とアクティビティの視覚的な読み取りを提供します。 

ウォレットアドレスがクリップボードに表示されると、マルウェアは被害者が貼り付ける前に、攻撃者が制御するアドレスに置き換えることができます。支払いを送信するために Bitcoin アドレスをコピーすると、宛先フィールドに実際に貼り付けられるのは、全く別人のアドレスかもしれません。

Microsoft Defender Antivirus は現在、この脅威を Trojan:Win32/CryptoBandits.A としてフラグ付けし、Defender for Endpoint は疑わしい JavaScript プロセスや curl ベースのデータ漏洩などの動作を監視します。