Microsoft попереджає про нову шкідливу програму на основі USB, яка націлена на користувачів криптовалют

Microsoft попереджає про шкідливу програму, яка поширюється через флеш-накопичувачі, використовуючи файли швидкого доступу Windows для інфікування пристроїв. Так званий “clipper” шкідливий код шукає криптоадреси у буфері обміну та замінює їх на інші адреси, контрольовані зловмисниками.

• Основні висновки:
• • Microsoft Defender виявив нову USB-шкідливу програму, яка піддає крадіжці транзакції з біткойнами.
• • Скрипт краде 12 або 24-словні фрази насіння, що загрожує безпеці гаманців Tron і Monero.
• • Microsoft закликає користувачів блокувати ярлики, щоб запобігти поширенню шкідливого коду через знімні носії.

Microsoft попереджає про шкідливу програму для Windows, яка змінює криптовалютні адреси

Команда, що стоїть за Microsoft Defender, вбудованим інструментом безпеки від шкідливих програм і вірусів у Windows, попередила про нову загрозу, яка використовує ярлики для інфікування пристроїв, головним чином через USB-накопичувачі.

Шкідливий код замінює файли на знімних носіях даних ярликами (.lnk файли), які запускають інфекцію при відкритті, вживає заходів проти можливого сканування та видалення антивірусним програмним забезпеченням і використовує анонімізоване спілкування через Tor, щоб уникнути виявлення.

Одночасно шкідливий код поширюється шляхом копіювання самого себе на будь-які USB-накопичувачі, вставлені у інфікований комп’ютер. Він також запускає процес, який може виконувати різні завдання, зокрема змінювати адреси, скопійовані користувачами у буфер обміну інфікованого пристрою.

Шкідливий код, який постійно працює на ураженому пристрої, сканує пам’ять на предмет того, що Microsoft називає “високоцінними фінансовими артефактами”, виявляючи 12 або 24-словні фрази насіння BIP39 у даних буфера обміну та надсилаючи їх зловмисникам разом із п’ятьма скріншотами для надання контексту щодо вмісту гаманця та коштів, що він містить.

Крім того, крипто-clipper сканує пам’ять кожні 500 мілісекунд у пошуках адрес популярних криптопроектів, включаючи біткойн, Tron і Monero.

Якщо він знайде будь-які, він припускає, що користувач копіює їх для виконання транзакції, і замінює їх на подібну адресу, але під контролем зловмисника, щоб отримати доступ до коштів, надісланих користувачами у ураженому пристрої.

“Ця сімейство шкідливих програм показує, наскільки легкими та скриптовими можуть бути крадіжки, коли вони поєднуються з анонімізованими комунікаціями та виконанням завдань у режимі реального часу,” підкреслила команда Microsoft Defender.

Щоб зменшити ризик інфікування, команда рекомендує відключити автоматичний запуск для вмісту на всіх знімних носіях і блокувати виконання ярликів із знімних дисків, які були визначені як основні шляхи поширення шкідливого коду.