Novo Malware Rouba Criptomoeda ao Levantar do Seu Clipboard

Por décadas, o clipboard tem sido uma ocorrência cotidiana da experiência computacional, seja sendo usado no Windows, Mac ou Linux. Mas agora, os atacantes encontraram uma maneira de acessar seu clipboard para inserir malware que roubará sua criptomoeda.

Isso fará você pensar duas vezes na próxima vez que copiar e colar informações sensíveis, especialmente criptomoedas. O novo uso para malware substituirá o endereço da sua transação de criptomoeda pelo endereço da carteira do atacante.

O Crime

O malware ComboJack funciona em múltiplas moedas, confiando que você não verifique a carteira para a qual está enviando sua transação. Existem muitos e-mails de spam existentes que foram usados para distribuir o malware, e o grande número de e-mails mostra que os atacantes estão tendo sucesso em seu empreendimento.

Mas não pense que você está seguro só porque não usa Bitcoin, já que sistemas de pagamento digital não criptográficos, como WebMoney e Yandex Money, também estão sendo alvo.

Pesquisadores da Palo Alto Networks se depararam com esta campanha de malware enquanto observavam uma campanha de phishing por e-mail que estava visando usuários tanto na América quanto no Japão.

Os e-mails não usam os nomes das vítimas, mas afirmam que um passaporte foi extraviado, instruindo o leitor do e-mail a abrir um documento que contém uma versão escaneada para “verificar se você conhece o proprietário.”

Uma vez que o destinatário do e-mail abre o arquivo, é solicitado que permita a execução de um arquivo incorporado para que possam visualizar o documento. Se seguirem adiante e permitirem a execução do arquivo, isso permitirá que um arquivo RTF incorporado injete código e execute comandos PowerShell que serão usados para baixar o ComboJack e executá-lo.

O ComboJack então começará a trabalhar usando a ferramenta embutida do Windows, attrib.exe, o que permitirá que ele se esconda do destinatário do e-mail e também execute processos com privilégios elevados.

Ele então iniciará um loop onde verificará o conteúdo do clipboard a cada meio segundo para ver se o usuário copiou informações sobre criptomoedas. Se encontrar isso, substituirá o endereço atual por um endereço conectado ao atacante, esperando que a vítima não perceba.

Além desta Exploração

Além de uma organização tentando roubar criptomoedas, isso certamente significa que qualquer coisa poderia potencialmente ser roubada do seu clipboard. E muitos de nós usamos a função clipboard para muitas coisas.

A questão é se você usa a função clipboard para algo que seria potencialmente prejudicial se fosse roubado, como senhas. Às vezes, senhas são enviadas por e-mail para você configurar uma conta, e elas podem ser tão longas e cheias de números e letras que a solução mais fácil é copiá-las e colá-las.

Claro, isso exigiria que alguém estivesse do outro lado verificando constantemente seu clipboard em busca de informações de senha e soubesse para onde elas iriam, então é um pouco exagerado. Mas agora sabemos que isso poderia potencialmente acontecer.

A coisa importante a saber é que o clipboard é uma vulnerabilidade, então é melhor ter isso em mente ao copiar e colar.

Possíveis Soluções

Essa vulnerabilidade específica foi corrigida pela Microsoft em setembro passado, então a primeira linha de defesa é manter seu sistema operacional atualizado. Além disso, você precisa ter cuidado com e-mails de organizações desconhecidas que pedem para você baixar anexos. Esperançosamente, essas são coisas que você já está fazendo de qualquer maneira.

Esse tipo de vulnerabilidade é algo que te preocupa? Você já imaginou que seu clipboard poderia ser explorado? Deixe-nos saber seus pensamentos sobre isso nos comentários.