В феврале компания Майкрософт сказала на страницах личного блога, что вирусное программное обеспечение, распространяемое через USB-накопители, заражает индивидуальные компы с операционной системой Виндовс и нацелено на криптовалютные кошельки.
Компания называет это вирусное программное обеспечение «криптовалютным клиппером», а её антивирус Defender идентифицирует его как Trojan:Win32/CryptoBandits.
Процесс начинается с зараженного USB-накопителя, который содержит вредный файл ярлычка либо ссылки. В Виндовс названия файлов ярлычков завершаются на «.lnk» и указывают операционной системе на открытие определенной программы, папки либо файла, который хранится в другом месте на компе.
Когда пользователь подключает данный накопитель и щелкает по ярлычку, на комп устанавливается вирусное программное обеспечение, популярное как «червяк». После установки оно делает две вещи: повсевременно запускает код хищения криптовалютного кошелька и сразу ждет подключения нового, незапятнанного USB-накопителя притом компу.
Элемент, созданный для хищения кошельков, выслеживает буфер обмена Виндовс — сокрытую временную память, которая используется для операций копирования и вставки, — приблизительно все 500 миллисекунд. Когда пользователь копирует сид-фразу криптовалютного кошелька либо закрытый ключ для кошелька Bitcoin либо Ethereum, вредная программа перехватывает эти сведения и посылает их на сервер злодея через сеть Tor — открытую сеть, обеспечивающ?? анонимную связь. Кроме того, она делает 5 снимков экрана с интервалом в 10 секунд и посылает их вместе с данными.
Риск на данном не завершается
Если пользователь копирует адрес получателя для отправки средств, «червяк» неприметно подменяет его адресом, которые контролируются преступником, до того как пользователь вставит данные, потому перевод поступает злодею без каких-то видимых признаков.
В конце концов, «червяк» распространяется, когда к компу подключается незапятнанный USB-накопитель. Он сканирует незапятнанный USB-накопитель на наличие обыденных файлов, документов Word, таблиц Excel и PDF-файлов, подменяет их новыми файлами ярлычков с теми же именами и заражает накопитель. Потом цикл продолжается.
Майкрософт советует отключить функцию автоматического запуска для съемных носителей, заблокировать реализация файлов .lnk на USB-накопителях при помощи групповой политики и ограничить работу таковых скриптовых хостов, как wscript.exe и cscript.exe. Пользователи Майкрософт Defender также могут запускать запросы в поисковике для проверки связанной активности, в том числе подключения к локальному proxi-серверу Tor на порту 9050.
Майкрософт предала гласности перечень индикаторов компрометации, в том числе хеши файлов и домены .onion, которые используются в качестве серверного оборудования управления и контроля, для проверки сетей группами безопасности.