A Microsoft alertou hoje para uma nova ameaça informática de alta gravidade, apelidada de Crypto Clipper, que tem vindo a desviar criptomoedas de forma silenciosa desde fevereiro. Segundo os detalhes técnicos partilhados no blogue oficial de segurança da Microsoft, este malware espalha-se principalmente através de unidades externas, monitorizando a área de transferência do computador para substituir endereços de pagamento e encaminhar os fundos diretamente para as contas dos piratas informáticos.
Como o código infeta e vigia o computador
A infeção inicial ocorre através de ficheiros de atalho maliciosos com a extensão .lnk, que se mascaram de documentos legítimos dentro das unidades externas. Assim que a pen é ligada a um computador, o software infiltra-se no sistema e começa imediatamente a procurar outros discos rígidos e unidades SSD ligados para continuar a sua propagação, camuflando-se no lugar dos ficheiros originais do utilizador.
Ao mesmo tempo que se replica, o código instala-se na máquina da vítima e passa a vigiar ativamente a área de transferência. O objetivo principal é intercetar dados sensíveis no momento da cópia, tais como endereços de carteiras virtuais, listas de recuperação de 12 a 24 palavras (BIP39) e chaves privadas de diversas redes, incluindo Bitcoin, Ethereum, Tron e Monero.
Autonomia extrema e captura de dados
Quando deteta a informação financeira que procura, a ameaça recorre à rede Tor para comunicar com os servidores dos atacantes, dificultando qualquer tentativa de rastreio. Num esquema sofisticado, o programa substitui o endereço legítimo que o utilizador copiou por um endereço gerado pelos criminosos, tendo o cuidado de usar uma sequência de caracteres visualmente semelhante à original para evitar levantar suspeitas no momento de confirmar a transação.
Esta praga digital destaca-se pela sua extrema autonomia. Ao contrário de outras ameaças, não necessita de controlo remoto constante, funcionando através de um proxy local gerido por um cliente Tor portátil. Como se o roubo de fundos não fosse suficiente, a ferramenta recolhe cinco capturas de ecrã a cada dez segundos, enviando as imagens para fornecer o contexto do ataque aos piratas. Caso o utilizador tente travar a ameaça, o software tem ainda a capacidade de executar um script em JavaScript, bloqueando o computador para impedir a sua remoção.
Sinais de alerta e como limpar a máquina
Para verificar se o teu equipamento foi comprometido, deves abrir o Gestor de Tarefas e estar atento a processos suspeitos em execução, nomeadamente o wscript.exe ou o cscript.exe. A abertura repentina de janelas da Linha de Comandos, do PowerShell ou de ferramentas como o curl são sinais evidentes de infeção, tal como a presença de ligações de rede ativas no porto local 9050.
Se detetares algum destes comportamentos no teu computador, a recomendação de segurança é drástica e imediata: torna-se imperativo formatar por completo o sistema principal e proceder à limpeza de todas as unidades externas que tenham estado ligadas à máquina infetada.
Nenhum comentário
Seja o primeiro!