Microsoft cảnh báo về phần mềm độc hại mới dựa trên USB nhắm vào người dùng tiền điện tử

Microsoft đã cảnh báo về một phần mềm độc hại lây lan qua ổ đĩa flash sử dụng các tệp tắt Windows để lây nhiễm thiết bị. Phần mềm độc hại gọi là “clipper” này tìm kiếm địa chỉ crypto trong clipboard và thay thế chúng bằng các địa chỉ khác do kẻ tấn công kiểm soát.

• Những điểm chính:
• • Microsoft Defender đã phát hiện một phần mềm độc hại USB mới làm lộ các giao dịch bitcoin để bị trộm cắp.
• • Script này đánh cắp các cụm từ seed 12 hoặc 24 từ, đe dọa an ninh ví tron và monero.
• • Microsoft sau đó khuyên người dùng chặn các tệp tắt để ngăn phần mềm độc hại lây lan qua các ổ đĩa rời.

Microsoft cảnh báo về phần mềm độc hại Windows thay đổi địa chỉ tiền điện tử

Nhóm phát triển Microsoft Defender, công cụ bảo vệ chống phần mềm độc hại và virus tích hợp của Windows, đã cảnh báo về một mối đe dọa mới sử dụng các tệp tắt để lây nhiễm thiết bị, chủ yếu qua các ổ đĩa USB.

Phần mềm độc hại này thay thế các tệp trên các thiết bị lưu trữ di động bằng các tệp tắt (.lnk) kích hoạt việc lây nhiễm khi chạy, thực hiện các biện pháp chống quét và xóa của phần mềm diệt virus, và sử dụng liên lạc ẩn danh qua Tor để tránh bị phát hiện.

Cùng lúc đó, phần mềm độc hại này lây lan bằng cách sao chép chính nó vào bất kỳ ổ đĩa USB nào được cắm vào máy tính nhiễm bệnh. Nó cũng chạy một quá trình có thể thực hiện nhiều nhiệm vụ, bao gồm thay đổi các địa chỉ người dùng sao chép vào clipboard của thiết bị nhiễm.

Phần mềm độc hại này, liên tục chạy trên thiết bị bị ảnh hưởng, quét bộ nhớ để tìm các “tài sản tài chính có giá trị cao” theo cách gọi của Microsoft, phát hiện các cụm từ seed BIP39 12 hoặc 24 từ trong dữ liệu clipboard và gửi chúng cho kẻ tấn công, kèm theo năm ảnh chụp màn hình để cung cấp bối cảnh về nội dung ví và số tiền chứa trong đó.

Ngoài ra, clipper tiền điện tử còn quét các địa chỉ của các dự án crypto phổ biến, bao gồm bitcoin, tron và monero, trong bộ nhớ cứ mỗi 500 mili giây.

Nếu tìm thấy, nó giả định rằng người dùng đang sao chép để thực hiện một giao dịch và thay thế bằng một địa chỉ tương tự, nhưng do kẻ tấn công kiểm soát để chiếm quyền kiểm soát số tiền gửi từ người dùng trên thiết bị nhiễm.

“Gia đình phần mềm độc hại này cho thấy các phần mềm trộm dựa trên script nhẹ có thể gây ảnh hưởng lớn khi kết hợp với liên lạc ẩn danh và thực thi nhiệm vụ trong thời gian chạy,” nhóm Microsoft Defender nhấn mạnh.

Để giảm thiểu các lây nhiễm, nhóm khuyên tắt tự động chạy nội dung trên tất cả các thiết bị lưu trữ di động và chặn việc thực thi các tệp tắt từ các ổ đĩa rời, vốn đã được xác định là các vector lây lan chính của phần mềm độc hại.