Microsoft odkril črva, ki krade kriptovalute
Microsoft je opozoril na odkritje novega in naprednega črva, poimenovanega Crypto Clipper, ki se širi prek okuženih USB ključkov in je namenjen kraji kriptovalut.
Zlonamerna koda se prenaša prek izvršljivih datotek s končnico .lnk na zunanjih pogonih. Ko uporabnik takšen ključek priključi na računalnik, program najprej preveri, ali je naprava že okužena, sicer pa v ozadju neopazno prenese celotno škodljivo programsko opremo. Da bi se črv čim dlje obdržal v sistemu, samodejno skenira USB-pogon in zlonamerne datoteke preimenuje v imena, ki so videti povsem običajna in ne vzbujajo suma. Ko se Crypto Clipper (v sistemih Microsoft Defender zaznan kot Trojan:Win32/CryptoBandits.A) usidra v operacijski sistem, neprekinjeno nadzoruje vsebino odložišča, kamor uporabniki začasno kopirajo besedila. Iskalni algoritmi virusa iščejo zapise, ki ustrezajo standardnim formatom naslovov kripto denarnic ali varnostnim obnovitvenim geslom, sestavljenim iz 12 ali 24 besed. Če sistem zazna kopiran naslov denarnice, ga v delčku sekunde zamenja z naslovom denarnice, ki jo nadzorujejo hekerji, s čimer se nakazila ob obdelavi transakcije nevede preusmerijo v roke napadalcev. Poleg kraje besedil virus ob vsaki zaznavi sumljivega vzorca v obdobju desetih sekund posname tudi pet zaporednih posnetkov zaslona, s čimer napadalci pridobijo natančen vizualni kontekst žrtvinih finančnih aktivnosti.
Posebnost te zlonamerne programske opreme je njena komunikacijska struktura, saj za pošiljanje ukradenih podatkov in posnetkov zaslona ne uporablja klasične in lahko izsledljive strežniške infrastrukture. Namesto tega na okuženi napravi vzpostavi lokalni posredniški strežnik SOCKS5 (običajno na vratih localhost:9050) in ves promet anonimno preusmerja prek omrežja Tor. Ta pristop finančno motiviranemu virusu omogoča, da se preobrazi v lahka in izjemno prikrita stranska vrata (backdoor), ki napadalcem omogočajo dolgotrajen in nemoten nadzor nad okuženim računalnikom. Varnostni strokovnjaki kot glavne indice za okužbo navajajo nenavadne ukaze za zajem zaslona znotraj orodja PowerShell, sumljivo omrežno aktivnost na lokalnih vratih in nepooblaščeno prebiranje podatkov iz odložišča.
