CryptoClipWatcher: Nuestra nueva herramienta contra las técnicas de «crypto clipboard hijacking»Área de Innovación y Laboratorio de Telefónica Tech 17 julio, 2018 Desde 2017, esta técnica se ha vuelto bastante popular. Las criptomonedas en general son un objetivo para el malware y minar Bitcoins ya no es tan lucrativo en ordenadores “normales” (quizás Monero sí). Pero, apuntar al portapapeles para robar criptomonedas es una nueva, sencilla e interesante fórmula que los creadores de malware están comenzando a explotar. Hemos creado una sencilla herramienta que vigila el clipboard para alertar al usuario si la dirección de la criptomoneda de destino es modificada. A finales de 2017, los creadores de malware lanzaron Cryptoshuffle. Se trataba de un malware capaz de secuestrar el portapapeles y modificar la criptomoneda en él. Envenenar el clipboard no era totalmente nuevo, pero esta fue de las primeras veces en las que los atacantes lo usaron para robar bitcoins, modificando la dirección de destino de una transacción. Algo más tarde, alguien vio el negocio en esta técnica y lo empezó a vender como “servicio” llamándolo «Evrial«. Esto ocurrió a principios de 2018 cuando Cryptoshuffle comenzó a desaparecer dejando espacio a Evrial. Se trataba de un malware programado en .NET malware que robaba, no solo las contraseñas de los navegadores, clientes FTP, Pidgin… sino también capaz de modificar el clipboard al vuelo y cambiar la cartera de criptomoneda a la del atacante. De esta forma, el malware se encarga de comprobar el formato de la cadena alojada en el portapapeles, y si la víctima copia, por ejemplo , direcciones de Bitcoin o Litecoin, serán reemplazadas rápidamente por otra, al vuelo y dinámicamente (las nuevas direcciones de destino eran descargadas de un servidor). En marzo, ESET descubrió que ya yacía años que un software alojado en download.com ya usaba esta técnica. Además, no hace tanto, ElevenPaths analizó la botnet N4O, que, entre otras muchas técnicas interesantes, usaba el “clipboard hijacking” como técnica para robar bitcoins, aunque se centrase en la banca. Desde entonces, hemos visto muchos otros ejemplos, como esta muestra que monitorizaba 2.3 millones de direcciones y las reemplazaba si las encontraba en el portapapeles . Sí, es cierto que no tiene mucho sentido y que podría haber usado una expresión regular para monitorizar todas las wallets… pero así es como funcionaba. Esta otra muestra, llamada ClipboardWalletHijacker, también hacía eso. Pero, curiosamente, distinguía entre el día del mes. Si el día de la infección era antes del 8 del mes en curso, reeemplazaba por una dirección (19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL). De lo contrario, usaba 1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1. Esta formula de secuestro estilo ctrl-c y ctrl-v se ha vuelto muy popular incluso entre los troyanos bancarios “tradicionales”. Inyectan javascript en las páginas de bancos implementando atajos de teclado rápidos para así modificar la página legítima. Este malware introduce un javascript malicioso en el portapales, abre la consola de desarrollo del navegador en la página objetivo, y pega el javascript. Funciona incluso pegando el javascript en la barra de direcciones. Presentamos CryptoClipWatcher Se trata de un programa muy muy sencillo, todavía en fase beta. Una vez instalado comprobará si, una vez que se ha copiado una wallet o dirección de criptomoneda en el portapapeles, se modifica antes de que se reemplace por otra cosa. Si es así, aparecerá una alerta. Si se ha hecho conscientemente, se podrá añadir esta dirección a la lista de direcciones que el programa recordará para no alertar más con esa cartera particular. Y eso es todo. Por supuesto, hemos implementado medidas de seguridad para que el malware (si está al tanto de la protección que esta herramienta ofrece) tenga que elevar privilegios para matar al programa. Mostramos aquí un vídeo que explica cómo funciona. Puedes descargar el programa desde aquí. Esta es una versión algo preliminar que planeamos mejorar. Intentaremos que sea más fácil de usar e incluso más seguro en cada versión. Para que estés al día lo antes posible, el programa comprueba actualizaciones cada vez que arranca. Tenemos grandes planes para esta herramienta. Por favor, envía mejoras o fallos si los encuentras a labs@11paths.com. Liberamos iBombShell 0.0.1b en el repositorio de Github de ElevenPathsQué hemos presentado en Security Day 2018 (V): Emprendemos, ecosistema de innovación
Telefónica Tech Boletín semanal de ciberseguridad, 18 — 24 de junio Caída de los servicios de Microsoft Office 365 y Cloudflare a nivel mundial A lo largo del pasado martes se vieron interrumpidos múltiples servicios web a nivel mundial. El origen...
Cristina del Carmen Arroyo Siruela Día de la mujer ingeniera: construyendo nuevos caminos El término “ingeniero” proviene del latín, ingenium, en castellano ingenio. Desde hace mucho tiempo, se ha asociado el mundo de la ingeniería con el sexo masculino. Pero ¿es el...
Cristina del Carmen Arroyo Siruela Los ataques más comunes contra las contraseñas y cómo protegerte Una credencial de acceso es básicamente un nombre de usuario y una contraseña asociada a esa persona y a los permisos de accesos que tiene otorgados para una aplicación,...
Telefónica Tech Webinar: Sports Tech, la revolución digital del fútbol El pasado 15 de junio desde Telefónica Tech organizamos un webinar dedicado a la tecnología en el deporte: “Sports Tech, la revolución digital del fútbol”, disponible ya en nuestro...
Telefónica Tech Boletín semanal de ciberseguridad, 13 — 17 de junio Hertzbleed. Nuevo ataque de canal lateral contra procesadores AMD e Intel Investigadores de seguridad de varias universidades de Estados Unidos han descubierto un nuevo ataque de canal lateral que afecta...
Telefónica Tech ¡Estamos de estreno! Conoce la nueva web de Telefónica Tech Cyber Security & Cloud En Telefónica Tech no dejamos de crecer y de trabajar para ser el partner tecnológico de las empresas en su proceso de transformación digital. Como parte de este propósito Telefónica Tech...