Microsoft предупреждает о крипто-клиппере Windows, крадущем сид-фразы, ключи и кошельки через Tor и USB-накопители

Microsoft выявила вредоносную программу, которая тихо работала с февраля и нацелена на устройства под управлением Windows. Эта вредоносная программа, получившая название CryptoBandits, может красть сид-фразы, ключи и кошельки через сеть Tor и распространяться через USB-накопители. 

В блоге посту опубликованном 17 июня, эксперты Microsoft Threat Intelligence и Microsoft Defender раскрыли вредоносную кампанию, которая незаметно для жертв опустошала криптокошельки. Специалисты по безопасности Microsoft описали сочетание устаревших тактик червей с USB-накопителей и современных инструментов анонимности, которые делали вредоносную программу невидимой в течение нескольких месяцев.

По словам исследователей, вредоносная кампания могла объединить в одной программе кражу данных из буфера обмена, подмену адресов кошельков, распространение по принципу червя и связь через Tor. Программа также сохраняла доступ к локальной машине даже после завершения выполнения вредоносного кода. 

Microsoft объясняет, как происходит заражение

В подробном блоге Microsoft раскрыла, что заражение началось старомодным способом — через USB-накопитель. Вредоносная программа затем обращалась к ярлыкам, оставленным на съемных дисках. Как только накопитель подключается к компьютеру, компонент червя активируется немедленно. 

Компонент червя ищет обычные файлы, такие как DOC, таблицы и PDF-документы на устройстве, скрывает настоящие файлы и заменяет их поддельными ярлыками с теми же именами. После этого не подозревающие об опасности пользователи Windows нажимают на ярлыки, полагая, что открывают обычные файлы Word или Excel, но вместо этого запускают вредоносную программу.

Затем вредоносная программа распространяется на USB-накопитель компьютера, настраивает запланированные задачи для поддержания своей работы после перезагрузки и исключает себя из сканирований Microsoft Defender. 

Когда в фазе 2 активируется сам клиппер, скриптовый payload использует Windows ScriptHost и объекты Active X вместо типичного установщика, что делает его крайне трудным для обнаружения. 

После настройки вредоносная программа запускает клиент Tor в скрытом окне и генерирует уникальный идентификатор жертвы, регистрируется на сервере управления и контроля, скрытом за адресом Tor-луковицы. Таким образом, вредоносная программа может успешно передавать информацию через этот скрытый канал, оставаясь незамеченной. 

Microsoft о том, почему этот вредоносный код сложнее поймать

Команда безопасности Microsoft объяснила, что вредоносная программа переходит в цикл, опрашивая своих операторов и сканируя буфер обмена примерно каждые полсекунды. Программа специально разработана для распознавания сид-фраз BIP39, состоящих из 12 или 24 слов. 

Вредоносная программа сканирует ключи Ethereum и Биткоин приватные ключи в формате WIF, сохраняет локальную резервную копию и отправляет ее на серверы злоумышленников через сеть Tor. Она настроена на повторение одной и той же последовательности действий несколько раз до успешной отправки. После успешной отправки программа удаляет локальную копию и делает несколько снимков экрана каждую секунду, предоставляя злоумышленникам визуальную информацию о балансе и активности кошелька жертвы. 

Если в буфере обмена появляется адрес кошелька, вредоносная программа может подменить его на адрес, контролируемый злоумышленником, до того, как жертва вставит его. Скопируйте адрес Bitcoin для отправки платежа, и в поле назначения может попасть адрес совершенно другого человека.

Microsoft Defender Antivirus теперь обнаруживает угрозу как Trojan:Win32/CryptoBandits.A, а Defender for Endpoint отслеживает такие поведения, как подозрительные процессы JavaScript и эксфильтрация данных с помощью curl.