Microsoft предупреждает о новом USB-основанном вредоносном ПО, нацеленном на пользователей криптовалют

Основные выводы

• Microsoft Defender обнаружил новый USB-вирус, который подвергает кражам транзакции биткоина.
• Скрипт похищает 12 или 24-словные мнемонические фразы, угрожая безопасности кошельков Tron и Monero.
• Microsoft далее призывает пользователей блокировать ярлыки, чтобы остановить распространение вредоносного ПО через съемные носители.

Microsoft предупреждает о вредоносном ПО для Windows, изменяющем адреса криптовалют

Команда, стоящая за Microsoft Defender, встроенным средством защиты от вредоносных программ и вирусов Windows, предупредила о новом опасном ПО, использующем ярлыки для заражения устройств, в основном через USB-накопители.

Вредоносное ПО заменяет файлы на съемных носителях на ярлыки (.lnk файлы), которые активируют заражение при запуске, принимает меры против возможного сканирования и удаления антивирусным программным обеспечением и использует анонимизированную коммуникацию через Tor, чтобы избежать обнаружения.

В то же время, вредоносное ПО распространяется, копируя себя на любые вставленные USB-устройства, подключенные к зараженному компьютеру. Оно также запускает процесс, который может выполнять различные задачи, включая изменение адресов, скопированных пользователями в буфер обмена зараженного устройства.

Это вредоносное ПО, которое постоянно работает на зараженном устройстве, сканирует память на наличие так называемых «высокоценностных финансовых артефактов», обнаруживая 12 или 24-словные мнемонические фразы BIP39 в данных буфера обмена и отправляя их злоумышленникам, вместе с пятью скриншотами для контекста содержимого кошелька и средств, содержащихся в нем.

Кроме того, криптографический клиппер сканирует адреса популярных криптопроектов, включая биткоин, Tron и Monero, в памяти каждые 500 миллисекунд.

Если он находит такие адреса, он предполагает, что пользователь копирует их для выполнения транзакции, и заменяет их на похожие адреса, но под контролем злоумышленника, чтобы захватить средства, отправляемые пользователями с зараженного устройства.

«Это семейство вредоносных программ показывает, как легковесные скриптовые похитители могут оказывать значительное влияние при использовании анонимных коммуникаций и выполнения задач во время работы системы», подчеркнула команда Microsoft Defender.

Для предотвращения заражений команда рекомендует отключить автоматический запуск для содержимого на всех съемных носителях и блокировать выполнение ярлыков с съемных дисков, которые были признаны основными каналами распространения вредоносного ПО.