CryptoClipWatcher: Nuestra nueva herramienta contra las técnicas de «crypto clipboard hijacking»Área de Innovación y Laboratorio de Telefónica Tech 17 julio, 2018 Desde 2017, esta técnica se ha vuelto bastante popular. Las criptomonedas en general son un objetivo para el malware y minar Bitcoins ya no es tan lucrativo en ordenadores “normales” (quizás Monero sí). Pero, apuntar al portapapeles para robar criptomonedas es una nueva, sencilla e interesante fórmula que los creadores de malware están comenzando a explotar. Hemos creado una sencilla herramienta que vigila el clipboard para alertar al usuario si la dirección de la criptomoneda de destino es modificada. A finales de 2017, los creadores de malware lanzaron Cryptoshuffle. Se trataba de un malware capaz de secuestrar el portapapeles y modificar la criptomoneda en él. Envenenar el clipboard no era totalmente nuevo, pero esta fue de las primeras veces en las que los atacantes lo usaron para robar bitcoins, modificando la dirección de destino de una transacción. Algo más tarde, alguien vio el negocio en esta técnica y lo empezó a vender como “servicio” llamándolo «Evrial«. Esto ocurrió a principios de 2018 cuando Cryptoshuffle comenzó a desaparecer dejando espacio a Evrial. Se trataba de un malware programado en .NET malware que robaba, no solo las contraseñas de los navegadores, clientes FTP, Pidgin… sino también capaz de modificar el clipboard al vuelo y cambiar la cartera de criptomoneda a la del atacante. De esta forma, el malware se encarga de comprobar el formato de la cadena alojada en el portapapeles, y si la víctima copia, por ejemplo , direcciones de Bitcoin o Litecoin, serán reemplazadas rápidamente por otra, al vuelo y dinámicamente (las nuevas direcciones de destino eran descargadas de un servidor). En marzo, ESET descubrió que ya yacía años que un software alojado en download.com ya usaba esta técnica. Además, no hace tanto, ElevenPaths analizó la botnet N4O, que, entre otras muchas técnicas interesantes, usaba el “clipboard hijacking” como técnica para robar bitcoins, aunque se centrase en la banca. Desde entonces, hemos visto muchos otros ejemplos, como esta muestra que monitorizaba 2.3 millones de direcciones y las reemplazaba si las encontraba en el portapapeles . Sí, es cierto que no tiene mucho sentido y que podría haber usado una expresión regular para monitorizar todas las wallets… pero así es como funcionaba. Esta otra muestra, llamada ClipboardWalletHijacker, también hacía eso. Pero, curiosamente, distinguía entre el día del mes. Si el día de la infección era antes del 8 del mes en curso, reeemplazaba por una dirección (19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL). De lo contrario, usaba 1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1. Esta formula de secuestro estilo ctrl-c y ctrl-v se ha vuelto muy popular incluso entre los troyanos bancarios “tradicionales”. Inyectan javascript en las páginas de bancos implementando atajos de teclado rápidos para así modificar la página legítima. Este malware introduce un javascript malicioso en el portapales, abre la consola de desarrollo del navegador en la página objetivo, y pega el javascript. Funciona incluso pegando el javascript en la barra de direcciones. Presentamos CryptoClipWatcher Se trata de un programa muy muy sencillo, todavía en fase beta. Una vez instalado comprobará si, una vez que se ha copiado una wallet o dirección de criptomoneda en el portapapeles, se modifica antes de que se reemplace por otra cosa. Si es así, aparecerá una alerta. Si se ha hecho conscientemente, se podrá añadir esta dirección a la lista de direcciones que el programa recordará para no alertar más con esa cartera particular. Y eso es todo. Por supuesto, hemos implementado medidas de seguridad para que el malware (si está al tanto de la protección que esta herramienta ofrece) tenga que elevar privilegios para matar al programa. Mostramos aquí un vídeo que explica cómo funciona. Puedes descargar el programa desde aquí. Esta es una versión algo preliminar que planeamos mejorar. Intentaremos que sea más fácil de usar e incluso más seguro en cada versión. Para que estés al día lo antes posible, el programa comprueba actualizaciones cada vez que arranca. Tenemos grandes planes para esta herramienta. Por favor, envía mejoras o fallos si los encuentras a labs@11paths.com. Liberamos iBombShell 0.0.1b en el repositorio de Github de ElevenPathsCómo combatir las principales amenazas digitales de la mano de ElevenPaths
Nacho Palou Typosquatting: cómo detectarlo y protegerse No siempre es fácil detectar y protegerse del typosquatting. Estas recomendaciones de nuestros expertos te ayudan a reducir el riesgo.
Nacho Palou El poder de la digitalización sostenible en la lucha contra el cambio climático El cambio climático es considerado el mayor desafío de nuestro tiempo. Sus efectos abarcan desde la desertización y sequías hasta inundaciones y aumento del nivel del mar. Algunas de...
Telefónica Tech Boletín semanal de Ciberseguridad, 27 de mayo – 2 de junio Descubierta puerta trasera en cientos de placas base Gigabyte Investigadores de ciberseguridad de Eclypsium descubrieron una puerta trasera secreta en el firmware de cientos de modelos de placas base Gigabyte,...
Nacho Palou Cómo el lenguaje pone en riesgo la Ciberseguridad de las empresas La Ciberseguridad es un asunto fundamental para las empresas y organizaciones, de cualquier tamaño y sector. Los ciberataques pueden tener consecuencias graves o muy graves —incluso fatales— para los...
Carlos Rebato Criptografía, una herramienta para proteger los datos compartidos en la red Actualmente, la Ciberseguridad representa un aspecto primordial en las empresas. No obstante, cada día surgen nuevos modos de atentar contra ella. Muchos se han preguntado: ¿de qué manera las...
Roberto García Esteban ChatGPT y Cloud Computing: un matrimonio bien avenido ChatGPT (quizá no sepas que son las siglas de Chat Generative Pre-Trained Transformer) está en boca de todos por su impresionante habilidad para generar textos que parecen escritos por...