Minaccia cripto: il malware si diffonde via USB, monitora gli appunti e ruba soldi

Microsoft ha rilevato una nuova minaccia informatica battezzata "Crypto Clipper", un malware auto-propagante che si diffonde tramite unità USB e mira a sottrarre credenziali di criptovaluta. L'operazione malevola, attiva almeno da febbraio, si distingue per la sua natura "leggera" e per l'utilizzo della rete Tor al fine di celare le comunicazioni con i server degli aggressori, rendendo difficile il tracciamento.

Il processo di infezione prende il via quando la vittima inserisce un'unità USB infetta. Il malware sfrutta i file di collegamento (.lnk) per nascondere la sua presenza, sostituendo i file originali con scorciatoie malevole che portano lo stesso nome. Al primo avvio di uno di questi collegamenti, Crypto Clipper si installa e verifica la presenza di altre unità di archiviazione USB. Una volta rilevata una nuova unità, il worm si copia autonomamente, replicando i file .lnk malevoli e stabilendo una task pianificata per monitorare future connessioni.

La logica dietro al furto: clipboard, screenshots e comunicazione anonima

Il cuore operativo di Crypto Clipper, spiegato da Microsoft, risiede nella sua capacità di monitorare la clipboard del dispositivo. Il malware analizza il contenuto degli appunti alla ricerca di schemi riconducibili a indirizzi di wallet di criptovaluta o seed phrase, ovvero le frasi di recupero. Tra i dati ricercati figurano frasi seed BIP39 da 12 o 24 parole, chiavi private Ethereum, chiavi WIF di Bitcoin, e indirizzi Bitcoin di diverse tipologie (legacy, P2SH, Bech32, Taproot), oltre a indirizzi Tron e Monero.

Quando rileva una corrispondenza, il malware sostituisce l'indirizzo legittimo copiato dalla vittima con uno controllato dagli attaccanti. La scelta dell'indirizzo di destinazione è dettata da una logica: viene selezionato, infatti, per somigliare parzialmente all'originale, riducendo la probabilità che l'utente si accorga della frode a una rapida occhiata. A complemento di questa azione, Crypto Clipper cattura anche cinque screenshot dello schermo della vittima nell'arco di dieci secondi, fornendo agli aggressori un contesto visivo di alto profilo.

Microsoft ha evidenziato come l'esecuzione di Crypto Clipper sia notevole per la sua autonomia. Il malware non dipende da un installer tradizionale o da infrastrutture C2 (Command and Control) basate su IP esposti. Invece, distribuisce un client Tor portatile (identificato spesso come ugate.exe) e instrada il traffico attraverso un proxy SOCKS5 locale. Questo meccanismo garantisce l'anonimato delle comunicazioni, inviando le credenziali rubate e gli screenshot ai server dei malintenzionati senza lasciare tracce evidenti.

Questa integrazione del furto di dati con capacità di esecuzione di codice remoto trasforma il semplice "clipper" in una backdoor "leggera". Gli aggressori possono infatti scaricare contenuti JavaScript in un file denominato cfile ed eseguirlo sulla macchina infetta tramite un'istruzione EVAL proveniente dal server C2, espandendo ulteriormente il controllo sulla macchina compromessa. Il componente di furto viene attivato solo dopo aver verificato che Gestione attività non sia in esecuzione, ulteriore tattica per sfuggire al rilevamento.

I ricercatori di Microsoft suggeriscono che i più forti indicatori di un'infezione da Crypto Clipper sono di natura comportamentale, piuttosto che basati su firme specifiche. È fondamentale monitorare attività insolite di processi come wscript.exe e cscript.exe, oltre a lanci inattesi di curl, PowerShell e cmd.exe, accompagnati da processi figlio anomali. Ulteriori segnali di allarme includono connessioni a localhost:9050 e qualsiasi attività riconducibile a proxy Tor, che indicano la presenza e l'operatività del malware.