Microsoft предупреждает о новом USB-основанном вредоносном ПО, нацеленном на пользователей криптовалюты

Microsoft предупредила о вредоносной программе, распространяющейся через флешки, использующие файлы ярлыков Windows для заражения устройств. Так называемое вредоносное ПО “clipper” ищет криптоадреса в буфере обмена и заменяет их на другие адреса, контролируемые злоумышленниками.

• Основные выводы:
• • Microsoft Defender обнаружила новое USB-вредоносное ПО, которое подвергает кражам транзакции с биткоином.
• • Скрипт похищает 12 или 24-словные сид-фразы, угрожая безопасности кошельков Tron и Monero.
• • Microsoft далее рекомендует блокировать ярлыки, чтобы остановить распространение вредоносного ПО через съемные носители.

Microsoft предупреждает о вредоносном ПО для Windows, которое изменяет криптовалютные адреса

Команда, стоящая за Microsoft Defender, встроенным средством защиты от вредоносных программ и вирусов Windows, предупредила о новой угрозе, использующей ярлыки для заражения устройств, в основном через USB-накопители.

Вредоносное ПО заменяет файлы на съемных носителях с ярлыками (.lnk-файлы), которые активируют заражение при запуске, принимает меры против возможного сканирования и удаления антивирусным программным обеспечением, а также использует анонимную коммуникацию через Tor, чтобы избежать обнаружения.

В то же время, вредоносное ПО распространяется, копируя себя на любые вставленные USB-устройства, подключенные к зараженному компьютеру. Оно также запускает процесс, который может выполнять различные задачи, включая изменение адресов, скопированных пользователями в буфер обмена зараженного устройства.

Это вредоносное ПО, которое постоянно работает на зараженном устройстве, сканирует память на наличие так называемых “высокоценностных финансовых артефактов”, обнаруживая 12 или 24-словные сид-фразы BIP39 в данных буфера обмена и отправляя их злоумышленникам, вместе с пятью скриншотами для контекста содержимого кошелька и его средств.

Кроме того, крипто-clipper сканирует память каждые 500 миллисекунд на наличие адресов популярных криптопроектов, включая биткоин, Tron и Monero.

Если он находит такие адреса, он предполагает, что пользователь копирует их для выполнения транзакции, и заменяет их на похожий адрес, но под контролем злоумышленника, чтобы захватить средства, отправляемые пользователями с зараженного устройства.

“Это семейство вредоносных программ показывает, как легкие, основанные на скриптах, похитители могут оказывать значительное влияние при сочетании с анонимными коммуникациями и выполнением задач во время работы,” подчеркнула команда Microsoft Defender.

Для предотвращения заражений команда рекомендует отключить автоматический запуск для содержимого на всех съемных носителях и блокировать выполнение ярлыков с съемных дисков, которые были определены как основные векторы распространения вредоносного ПО.