Microsoft avertit d’un nouveau malware basé sur USB ciblant les utilisateurs de crypto

Microsoft a alerté sur un logiciel malveillant qui se propage via des clés USB utilisant des fichiers de raccourci Windows pour infecter les appareils. Le soi-disant logiciel malveillant “clipper” recherche des adresses crypto dans le presse-papiers et les remplace par d’autres adresses contrôlées par des attaquants.

• Points clés :
• • Microsoft Defender a signalé un nouveau logiciel malveillant USB qui expose les transactions Bitcoin au vol.
• • Le script vole des phrases de récupération de 12 ou 24 mots, menaçant la sécurité des portefeuilles Tron et Monero.
• • Microsoft recommande ensuite aux utilisateurs de bloquer les raccourcis pour empêcher la propagation du logiciel malveillant via des lecteurs amovibles.

Microsoft alerte sur un logiciel malveillant Windows qui modifie les adresses de cryptomonnaie

L’équipe derrière Microsoft Defender, l’outil intégré de sécurité contre les logiciels malveillants et virus de Windows, a mis en garde contre une nouvelle menace qui utilise des raccourcis pour infecter les appareils, principalement via des clés USB.

Le logiciel malveillant remplace les fichiers sur les dispositifs de stockage amovibles par des raccourcis (.lnk) qui déclenchent l’infection lors de leur exécution, prend des mesures contre d’éventuels scans et suppressions par les logiciels antivirus, et utilise une communication anonymisée via Tor pour éviter la détection.

En même temps, le logiciel malveillant se propage en se copiant sur toutes les clés USB insérées dans un ordinateur infecté. Il exécute également un processus capable d’effectuer diverses tâches, notamment changer les adresses copiées par les utilisateurs dans le presse-papiers de l’appareil infecté.

Le logiciel malveillant, qui fonctionne en continu sur l’appareil affecté, scanne la mémoire à la recherche de ce que Microsoft appelle des “artéfacts financiers de grande valeur,” détectant des phrases de récupération BIP39 de 12 ou 24 mots dans les données du presse-papiers et les envoyant aux attaquants, accompagnées de cinq captures d’écran pour donner un contexte sur le contenu du portefeuille et les fonds qu’il contient.

De plus, le clipper crypto scanne toutes les adresses de projets crypto populaires, y compris Bitcoin, Tron et Monero, dans la mémoire toutes les 500 millisecondes.

S’il en trouve, il suppose que l’utilisateur le copie pour effectuer une transaction et le remplace par une adresse similaire, mais contrôlée par l’attaquant pour s’emparer des fonds envoyés par les utilisateurs sur l’appareil infecté.

“Cette famille de logiciels malveillants montre à quel point les voleurs légers, basés sur des scripts, peuvent avoir un impact considérable lorsqu’ils sont associés à des communications anonymisées et à des tâches en temps réel,” a souligné l’équipe de Microsoft Defender.

Pour réduire les risques d’infection, l’équipe recommande de désactiver l’autorun pour le contenu sur tous les médias amovibles et de bloquer l’exécution des raccourcis depuis les lecteurs amovibles, qui ont été identifiés comme les principaux vecteurs de propagation du logiciel malveillant.