Les équipes de renseignement sur les menaces de Microsoft ont repéré CryptoBandits, une famille de malwares intégrée à au moins huit jeux Steam, qui transforme une machine infectée en point de relais pour voler des portefeuilles. L'appât vise l'empreinte habituelle de Steam, mais la charge utile cible l'empreinte du wallet juste à côté.
Comment la chaîne fonctionne
CryptoBandits dépose des fichiers raccourcis USB (.lnk) qui se font passer pour des lecteurs légitimes. Dès qu'une victime branche une clé USB, le malware sort via le raccourci, détourne l'activité du presse-papiers pour réécrire les adresses de wallet au moment du collage, et achemine le trafic sortant via Tor pour éviter l'attribution. L'étape finale exfiltre des jetons et des phrases de récupération depuis les flux des wallets de navigateur et de bureau avant le transfert des fonds.
Pourquoi cela compte
L'équipe de recherche de Microsoft, dont Liam "Akiba" Wright, a relié une empreinte de commande et contrôle à une série de confirmations de livraison Uber Eats suspectes dans les boîtes de réception des victimes, ce qui suggère que les opérateurs testent leur infrastructure à l'échelle grand public avant de la viser sur des cibles plus lucratives. La combinaison de jeux diffusés à grande échelle, de propagation via USB et de substitution dans le presse-papiers classe clairement cette campagne dans la catégorie des stealers à large spectre plutôt que dans celle d'une opération ciblée.
Questions fréquemment posées
-
Qu’est-ce que le malware CryptoBandits ?
CryptoBandits est une famille de malware signalée par Microsoft dans au moins huit jeux Steam. Elle dépose de faux fichiers raccourcis USB, surveille le presse-papiers pour réécrire les adresses de wallet et utilise Tor pour exfiltrer des jetons et des seed phrases.
-
Comment CryptoBandits vole-t-il des cryptos ?
Il place des fichiers .lnk malveillants qui s'activent quand une victime branche une clé USB, puis détourne le presse-papiers pour remplacer les adresses de wallet collées en cours de transaction. Le trafic sortant passe ensuite par Tor pour masquer l'attribution avant le transfert des fonds.
-
Pourquoi Microsoft relie-t-il la campagne à Uber Eats ?
L'équipe du chercheur Liam "Akiba" Wright a trouvé qu'une empreinte de commande et contrôle apparaissait avec des confirmations de livraison Uber Eats suspectes dans les boîtes de réception des victimes. Cela suggère que les opérateurs testent leur infrastructure à l'échelle grand public.
-
Quels wallets et quelles plateformes sont exposés ?
Le rapport de Microsoft vise les workflows de wallets de navigateur et de bureau, y compris les stockages de seed phrases sur les machines infectées. Tout wallet dont l'adresse passe par le presse-papiers pendant une transaction est exposé au remplacement.
-
Comment les utilisateurs peuvent-ils se protéger contre les voleurs qui détournent le presse-papiers ?
Vérifiez les adresses de wallet caractère par caractère avant de confirmer, gardez les seed phrases hors des machines connectées à Internet, considérez les périphériques USB inconnus comme hostiles, et évitez les logiciels non signés ou piratés, y compris les titres Steam non vérifiés.
Lookonchain
WatcherGuru
CoinTelegraph
TheBlock
WuBlockchain