CryptoClipWatcher: Nuestra nueva herramienta contra las técnicas de “crypto clipboard hijacking”

Desde 2017, esta técnica se ha vuelto bastante popular. Las criptomonedas en general son un objetivo para el malware y minar Bitcoins ya no es tan lucrativo en ordenadores “normales” (quizás Monero sí). Pero, apuntar al portapapeles para robar criptomonedas es una nueva, sencilla e interesante fórmula que los creadores de malware están comenzando a explotar. Hemos creado una sencilla herramienta que vigila el clipboard para alertar al usuario si la dirección de la criptomoneda de destino es modificada.

A finales de 2017, los creadores de malware lanzaron Cryptoshuffle. Se trataba de un malware capaz de secuestrar el portapapeles y modificar la criptomoneda en él. Envenenar el clipboard no era totalmente nuevo, pero esta fue de las primeras veces en las que los atacantes lo usaron para robar bitcoins, modificando la dirección de destino de una transacción. Algo más tarde, alguien vio el negocio en esta técnica y lo empezó a vender como “servicio” llamándolo “Evrial“. Esto ocurrió a principios de 2018 cuando Cryptoshuffle comenzó a desaparecer dejando espacio a Evrial. Se trataba de un malware programado en .NET malware que robaba, no solo las contraseñas de los navegadores, clientes FTP, Pidgin… sino también capaz de modificar el clipboard al vuelo y cambiar la cartera de criptomoneda a la del atacante. De esta forma, el malware se encarga de comprobar el formato de la cadena alojada en el portapapeles, y si la víctima copia, por ejemplo , direcciones de Bitcoin o Litecoin, serán reemplazadas rápidamente por otra, al vuelo y dinámicamente (las nuevas direcciones de destino eran descargadas de un servidor).

En marzo, ESET descubrió que ya yacía años que un software alojado en download.com ya usaba esta técnica.

Además, no hace tanto, ElevenPaths analizó la botnet N4O, que, entre otras muchas técnicas interesantes, usaba el “clipboard hijacking” como técnica para robar bitcoins, aunque se centrase en la banca.

Desde entonces, hemos visto muchos otros ejemplos, como esta muestra que monitorizaba 2.3 millones de direcciones y las reemplazaba si las encontraba en el portapapeles . Sí, es cierto que no tiene mucho sentido y que podría haber usado una expresión regular para monitorizar todas las wallets… pero así es como funcionaba.

Esta otra muestra, llamada ClipboardWalletHijacker, también hacía eso. Pero, curiosamente, distinguía entre el día del mes. Si el día de la infección era antes del 8 del mes en curso, reeemplazaba por una dirección (19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL). De lo contrario, usaba 1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1.

Esta formula de secuestro estilo ctrl-c y ctrl-v se ha vuelto muy popular incluso entre los troyanos bancarios “tradicionales”. Inyectan javascript en las páginas de bancos implementando atajos de teclado rápidos para así modificar la página legítima. Este malware introduce un javascript malicioso en el portapales, abre la consola de desarrollo del navegador en la página objetivo, y pega el javascript. Funciona incluso pegando el javascript en la barra de direcciones.

Se trata de un programa muy muy sencillo, todavía en fase beta. Una vez instalado comprobará si, una vez que se ha copiado una wallet o dirección de criptomoneda en el portapapeles, se modifica antes de que se reemplace por otra cosa. Si es así, aparecerá una alerta. Si se ha hecho conscientemente, se podrá añadir esta dirección a la lista de direcciones que el programa recordará para no alertar más con esa cartera particular.
Y eso es todo. Por supuesto, hemos implementado medidas de seguridad para que el malware (si está al tanto de la protección que esta herramienta ofrece) tenga que elevar privilegios para matar al programa.

Mostramos aquí un vídeo que explica cómo funciona.

Puedes descargar el programa desde aquí.

Esta es una versión algo preliminar que planeamos mejorar. Intentaremos que sea más fácil de usar e incluso más seguro en cada versión. Para que estés al día lo antes posible, el programa comprueba actualizaciones cada vez que arranca. Tenemos grandes planes para esta herramienta.

Por favor, envía mejoras o fallos si los encuentras a labs@11paths.com.