Microsoft advierte sobre nuevo malware basado en USB dirigido a usuarios de criptomonedas

Microsoft ha alertado sobre un malware que se propaga a través de unidades flash que utilizan archivos de acceso directo de Windows para infectar dispositivos. El llamado malware “clipper” busca direcciones de criptomonedas en el portapapeles y las reemplaza por otras controladas por los atacantes.

• Puntos clave:
• • Microsoft Defender detectó un nuevo malware en USB que expone las transacciones de bitcoin a robos.
• • El script roba frases semilla de 12 o 24 palabras, poniendo en riesgo la seguridad de monederos tron y monero.
• • Microsoft recomienda a los usuarios bloquear los accesos directos para detener la propagación del malware a través de unidades extraíbles.

Microsoft advierte sobre malware en Windows que cambia direcciones de criptomonedas

El equipo detrás de Microsoft Defender, la herramienta integrada de seguridad contra malware y virus en Windows, ha advertido sobre una nueva amenaza que utiliza accesos directos para infectar dispositivos, principalmente mediante unidades USB.

El malware reemplaza archivos en dispositivos de almacenamiento extraíble con accesos directos (.lnk) que activan la infección al ejecutarse, toma medidas contra posibles escaneos y eliminaciones por parte del software antivirus, y utiliza comunicaciones anónimas a través de Tor para evitar la detección.

Al mismo tiempo, el malware se propaga copiándose a cualquier unidad USB insertada en un equipo infectado. También ejecuta un proceso que puede realizar varias tareas, incluyendo cambiar las direcciones copiadas por los usuarios en el portapapeles del dispositivo infectado.

El malware, que se ejecuta continuamente en el dispositivo afectado, escanea la memoria en busca de lo que Microsoft llama “artefactos financieros de alto valor,” detectando frases semilla BIP39 de 12 o 24 palabras en los datos del portapapeles y enviándolas a los atacantes, junto con cinco capturas de pantalla para dar contexto sobre el contenido del monedero y los fondos que contiene.

Además, el clipper de criptomonedas escanea en memoria las direcciones de proyectos populares, incluyendo bitcoin, tron y monero, cada 500 milisegundos.

Si encuentra alguna, asume que el usuario la está copiando para realizar una transacción y la reemplaza por una dirección similar, pero que está bajo el control del atacante para apoderarse de los fondos enviados por los usuarios en el dispositivo infectado.

“Esta familia de malware demuestra cómo los ladrones ligeros basados en scripts pueden tener un impacto desproporcionado cuando se combinan con comunicaciones anónimas y tareas en tiempo de ejecución,” destacó el equipo de Microsoft Defender.

Para mitigar las infecciones, el equipo recomienda desactivar la ejecución automática en todos los medios extraíbles y bloquear la ejecución de accesos directos desde unidades removibles, que han sido identificados como los principales vectores de propagación del malware.