La campagne, qui, selon les chercheurs, est active depuis au moins février 2026, est conçue pour voler des crypto-monnaies en remplaçant silencieusement les adresses de portefeuille et en récoltant les informations d’identification sensibles des appareils infectés.
Sommaire
La méthode d’infection USB permet une propagation rapide
Selon l’équipe de renseignement sur les menaces de Microsoftle malware se propage en analysant les périphériques de stockage amovibles et en remplaçant les documents légitimes par des fichiers de raccourci Windows (.lnk) malveillants.
La technique cible les formats de fichiers couramment utilisés, notamment les documents Word, Excel et PDF. Les fichiers originaux sont masqués tandis que les attaquants créent des raccourcis similaires en utilisant des noms de fichiers identiques, augmentant ainsi la probabilité que les utilisateurs exécutent le logiciel malveillant sans le savoir.
Une fois activé, le logiciel malveillant établit sa persistance sur le système infecté et se propage automatiquement aux clés USB supplémentaires connectées à l’appareil, créant ainsi un mécanisme de distribution semblable à un ver, capable de se déplacer entre les réseaux sans dépendre d’une diffusion basée sur Internet.
Le détournement du presse-papiers cible les transactions cryptographiques
L’objectif principal de la campagne est le vol de cryptomonnaie.
Les chercheurs ont découvert que le logiciel malveillant surveillait en permanence l’activité du presse-papiers, vérifiant le contenu copié environ toutes les demi-secondes à la recherche de modèles associés aux adresses de portefeuille de crypto-monnaie.
Lorsqu’un utilisateur copie la destination d’un portefeuille avant d’effectuer une transaction, le logiciel malveillant remplace silencieusement l’adresse par une adresse contrôlée par l’attaquant. Les transferts cryptographiques étant irréversibles, les victimes peuvent sans le savoir envoyer des fonds directement vers des portefeuilles malveillants.
L’analyse de Microsoft indique que le logiciel malveillant est configuré pour reconnaître les adresses associées à plusieurs réseaux blockchain, notamment Bitcoin, Ethereum, Monero et Tron.
Cette méthode d’attaque reflète une tendance plus large parmi les cybercriminels qui ciblent les erreurs opérationnelles plutôt que de tenter de compromettre directement les protocoles de la blockchain.
Au-delà d’un Clipper : les logiciels malveillants incluent une fonctionnalité complète de porte dérobée
Les chercheurs ont noté que la menace s’étend au-delà du clipper traditionnel de crypto-monnaie.
Le malware déploie une porte dérobée légère qui permet aux attaquants de maintenir un accès persistant aux systèmes infectés. Pour dissimuler les communications, il regroupe son propre client Tor, permettant au trafic d’être acheminé via des services cachés anonymes.
L’infrastructure permet aux opérateurs d’exfiltrer des clés privées, des phrases de départ et d’autres informations sensibles sur le portefeuille tout en recevant des captures d’écran et des informations système provenant d’appareils compromis.
Cette fonctionnalité donne aux attaquants la possibilité de mettre à jour les charges utiles, de diffuser des logiciels malveillants supplémentaires et d’adapter les opérations sans nécessiter d’accès physique aux machines infectées.
Les techniques d’évasion avancées compliquent la détection
Microsoft a signalé que le malware intègre plusieurs mécanismes conçus pour échapper à l’analyse de sécurité.
Les composants principaux restent chiffrés jusqu’à leur exécution, limitant la visibilité des outils d’analyse traditionnels. Le malware effectue également des contrôles anti-analyse et peut se terminer si des outils de surveillance du système sont détectés.
Les mécanismes de persistance incluent des tâches planifiées qui relancent automatiquement les processus malveillants après les redémarrages, garantissant ainsi la continuité du fonctionnement même après des tentatives de correction partielles.
La combinaison de l’obscurcissement, de la persistance et de l’infrastructure de commandement et de contrôle anonyme démontre un niveau de sophistication de plus en plus courant parmi les groupes de cybercriminalité motivés par l’argent.
Les détenteurs de crypto sont confrontés à des risques croissants en matière de sécurité opérationnelle
Cette découverte intervient alors que l’adoption des actifs numériques continue de se développer parmi les investisseurs particuliers et institutionnels, augmentant ainsi la surface d’attaque potentielle des acteurs malveillants.
Contrairement aux exploits ciblant les protocoles blockchain, les attaques de piratage du presse-papiers reposent sur le comportement des utilisateurs et les flux de transactions, ce qui les rend difficiles à détecter sans de solides pratiques de sécurité opérationnelle.
Les chercheurs en sécurité notent que même les utilisateurs expérimentés peuvent devenir des victimes si les adresses de portefeuille ne sont pas vérifiées manuellement avant la confirmation de la transaction.
La campagne souligne également la pertinence continue des supports amovibles en tant que vecteur d’attaque malgré l’évolution croissante vers une infrastructure basée sur le cloud.
Microsoft recommande des mesures défensives immédiates
Microsoft conseille aux organisations et aux utilisateurs individuels de désactiver les fonctionnalités AutoRun et AutoPlay pour les supports amovibles, de restreindre l’exécution des fichiers de raccourci à partir de périphériques USB et de limiter l’accès aux outils de script Windows lorsque cela est opérationnellement possible.
Les équipes de sécurité sont également encouragées à surveiller les systèmes pour détecter toute activité réseau inhabituelle liée à Tor, ce qui peut indiquer une communication active avec une infrastructure contrôlée par des attaquants.
Pour les utilisateurs de crypto-monnaie, les experts recommandent de vérifier les adresses des portefeuilles avant chaque transaction, d’utiliser des portefeuilles matériels lorsque cela est possible et de maintenir des contrôles stricts autour des périphériques de stockage amovibles.
La campagne rappelle que même si les réseaux blockchain eux-mêmes restent sécurisés, les points finaux utilisés pour accéder aux actifs numériques continuent de représenter l’une des vulnérabilités de sécurité les plus importantes du secteur.
