Um perigoso malware capaz de roubar criptomoedas está a espalhar-se através de pens USB e a recorrer à rede Tor para ocultar as suas comunicações com os servidores de controlo. De acordo com um relatório detalhado publicado pela Microsoft, esta campanha encontra-se ativa desde o passado mês de fevereiro e foca-se em intercetar a área de transferência do computador para desviar fundos digitais.
Como funciona o processo de propagação
A infeção tem início quando a vítima abre um ficheiro de atalho com a extensão LNK, presente numa unidade externa comprometida. Uma vez ativada, a ameaça descarrega cargas maliciosas adicionais através de um endereço oculto na rede Tor. Durante este processo, o código malicioso efetua uma pesquisa no sistema por documentos locais, oculta-os e substitui-os por atalhos com exatamente o mesmo nome. Assim, sempre que o utilizador tenta aceder aos seus dados ou ficheiros de trabalho, acaba por executar a ameaça sem se aperceber.
Para garantir a sua sobrevivência e expansão, o software cria uma tarefa agendada no sistema operativo que vigia constantemente a ligação de novas unidades de armazenamento. Assim que uma nova pen USB é detetada, a praga copia-se automaticamente para o dispositivo, pronta a infetar a máquina do próximo utilizador.
Roubo de criptomoedas e captura de ecrã
O componente principal deste ataque entra em ação de forma completamente silenciosa, garantindo em primeiro lugar que o Gestor de Tarefas do computador não está aberto. A cada meio segundo, o sistema monitoriza a área de transferência à procura de informações vitais, como frases de recuperação de doze e vinte e quatro palavras, chaves privadas de Ethereum e endereços de carteiras de Bitcoin, Tron e Monero.
Quando deteta um endereço válido copiado pelo utilizador para efetuar um pagamento ou transferência, a ameaça substitui-o de forma instantânea por um endereço controlado pelos piratas informáticos. Para evitar suspeitas imediatas no momento da colagem, o novo endereço partilha os mesmos caracteres iniciais e finais do original. Adicionalmente, o programa realiza capturas de ecrã do sistema a cada dez segundos, enviando as imagens para os servidores remotos, e possui a capacidade para executar código à distância através de ficheiros em JavaScript descarregados diretamente para a máquina afetada.
Nenhum comentário
Seja o primeiro!