Microsoft sinaliza clipper de cripto do Windows roubando frases semente, chaves e carteiras através do Tor e unidades USB

A Microsoft sinalizou um programa malicioso que tem operado discretamente desde fevereiro e tem como alvo máquinas Windows. O programa malicioso, apelidado de CryptoBandits, pode roubar frases semente, chaves e carteiras através da rede Tor e é transferível por unidades USB. 

Em um blog post publicado em 17 de junho, especialistas em Threat Intelligence e Microsoft Defender expuseram uma campanha maliciosa que tem drenado carteiras de cripto sem que as vítimas percebessem. Especialistas de segurança da Microsoft apresentaram uma mistura de táticas antigas de worm USB e ferramentas modernas de anonimato que tornaram o programa malicioso indetectável por meses.

De acordo com os pesquisadores, a campanha maliciosa poderia executar roubo de área de transferência, substituição de endereço de carteira, propagação tipo worm e comunicação baseada em Tor em um único programa. O programa também manteve acesso à máquina local muito depois que o código malicioso foi executado. 

Microsoft explica como a infecção é executada

O blog detalhado da Microsoft revelou que a infecção começou da maneira antiga, por meio de um pendrive. O malware então acessou arquivos de atalho soltos em unidades removíveis. Uma vez conectado a uma máquina, o componente worm é ativado imediatamente. 

O componente worm procura arquivos comuns como DOCs, planilhas e PDFs no dispositivo, oculta os reais e os substitui por atalhos falsos com os mesmos nomes. Uma vez feito isso, os usuários desavisados do Windows clicam nos atalhos, pensando que estão abrindo o arquivo típico do Word ou Excel, mas, em vez disso, a ação aciona o malware.

O malware então se espalha para a unidade USB da máquina e configura tarefas agendadas para mantê-lo em execução após uma reinicialização, e se exclui das verificações do Microsoft Defender. 

Quando o clipper real é ativado na segunda fase, a carga útil baseada em script depende do Windows ScriptHost e objetos Active X em vez de um instalador típico, tornando-o extremamente difícil de detectar. 

Uma vez que tudo está configurado, o malware inicia um cliente Tor em uma janela oculta e gera um ID de vítima exclusivo, registrando-se em um servidor de comando e controle escondido atrás de um endereço onion do Tor. Dessa forma, o malware pode canalizar com sucesso informações por esse canal oculto sem ser detectado. 

Microsoft sobre por que este malware é mais difícil de capturar

A equipe de segurança da Microsoft explicou que o malware se estabelece em um loop, consultando seus operadores e verificando a área de transferência aproximadamente a cada meio segundo. O programa é desenvolvido especificamente para reconhecer frases semente BIP39 de 12 ou 24 palavras. 

O malware procura por chaves Ethereum e Bitcoin chaves privadas no formato WIF, salva um backup local e o envia para os servidores dos atacantes através da rede Tor. Ele é projetado para tentar a mesma sequência de eventos várias vezes até que o envio seja bem-sucedido. O programa então exclui a cópia local, apenas após um envio bem-sucedido, e tira várias capturas de tela a cada segundo, dando aos atacantes uma leitura visual do saldo e da atividade da carteira da vítima. 

Se um endereço de carteira aparecer na área de transferência, o malware pode trocá-lo por um controlado pelo atacante antes que a vítima o cole. Copie um endereço Bitcoin para enviar um pagamento, e o que realmente chega ao campo de destino pode pertencer a outra pessoa completamente.

O Microsoft Defender Antivirus agora sinaliza a ameaça como Trojan:Win32/CryptoBandits.A, e o Defender for Endpoint monitora comportamentos como processos JavaScript suspeitos e exfiltração de dados baseada em curl.