Malware de presse-papiers crypto : comment les substitutions d'adresse vident les portefeuilles

Ce que fait réellement un logiciel malveillant de détournement de presse-papiers

L'attaque commence par un geste que presque tout utilisateur de cryptomonnaies fait sans y penser : vous repérez une adresse de dépôt sur une plateforme d'échange, vous la copiez, vous ouvrez votre portefeuille, vous la collez dans le champ d'envoi. À l'écran, l'adresse semble correcte. Votre logiciel de portefeuille confirme une somme de contrôle valide. Vous cliquez sur envoyer. La transaction part, est enregistrée sur une blockchain et disparaît à jamais. La destination, toutefois, n'a jamais été l'adresse que vous avez copiée. Il s'agissait d'une adresse d'attaquant, substituée par le logiciel malveillant pendant la fraction de seconde séparant votre copier de votre coller.

Ce type de logiciel malveillant est généralement appelé détourneur de presse-papiers ou logiciel de substitution d'adresse. Il s'exécute discrètement en arrière-plan sur un ordinateur infecté, souvent dans le cadre d'un package voleur plus large, comme ceux distribués via des téléchargements de logiciels piratés, de fausses mises à jour de navigateur, des pièces jointes de phishing ou des plugins de jeux trojanisés. Le code malveillant n'a pas besoin de faire quoi que ce soit de spectaculaire. Il se contente de surveiller le presse-papiers du système à la recherche de chaînes correspondant à des formats d'adresses de cryptomonnaies, et lorsque l'une d'elles apparaît, il remplace votre texte copié par une autre chaîne issue d'une liste contrôlée par l'attaquant.

Le remplacement est choisi pour paraître légitime au premier coup d'œil. Les adresses de cryptomonnaies sont de longues chaînes en base58 ou hexadécimales, comportant souvent de 26 à 42 caractères. La plupart des utilisateurs ne jettent un œil qu'aux quatre premiers et quatre derniers caractères et supposent que le reste est correct. Les logiciels malveillants de presse-papiers exploitent cette habitude en générant des adresses quasi identiques, également appelées adresses à correspondance de préfixe-suffixe, qui partagent les mêmes premiers et derniers caractères que l'adresse légitime, mais diffèrent au milieu. Pour le BTC et de nombreuses chaînes dérivées du BTC, la tâche est plus ardue qu'il n'y paraît, mais pour l'ETH, l'USDT sur Ethereum et la plupart des jetons ERC-20, dont les adresses sont des chaînes hexadécimales de 40 caractères, l'attaquant peut générer des milliers d'adresses candidates à partir d'une clé privée jusqu'à en trouver une qui correspond au préfixe et au suffixe de l'adresse que vous avez copiée. La chaîne affichée semble identique. La destination réelle, elle, est différente.

Les vrais risques : rapidité, irréversibilité et échec invisible

La première chose à comprendre est la vitesse à laquelle la substitution se produit. Lorsque vous appuyez sur Ctrl+C, le système d'exploitation conserve brièvement votre sélection dans le presse-papiers, et le logiciel malveillant intercepte ce tampon avant que votre portefeuille ne le lise. La substitution peut s'achever en quelques dizaines de millisecondes. Il n'y a aucune animation, aucun avertissement, aucune boîte de dialogue. Le presse-papiers contient simplement une autre chaîne lorsque votre portefeuille l'interroge. Du point de vue de l'utilisateur, le copier-coller semble parfaitement normal.

Le deuxième risque est l'irréversibilité des transactions blockchain. Une fois qu'un transfert de BTC, d'ETH ou d'USDT est signé et diffusé, aucun service client ne peut l'annuler. Il n'existe aucun mécanisme de rétrofacturation. Si l'adresse destinataire appartient à un voleur, les fonds sont en pratique perdus dès que la transaction est confirmée. Certaines victimes ont contacté la plateforme d'échange par laquelle le voleur a ensuite fait transiter les fonds, et quelques cas isolés ont donné lieu au gel de comptes, mais la récupération reste l'exception, pas la règle.

Le troisième risque est que l'échec est invisible. Votre portefeuille ne vous indiquera pas que l'adresse que vous avez collée ne correspond pas à celle que vous avez copiée, car il n'a aucun moyen de savoir ce que vous avez initialement copié. Le logiciel ne voit que la chaîne finale présente dans le presse-papiers, en valide la somme de contrôle et la traite comme une destination légitime. Aucun avertissement de logiciel malveillant, aucun signal d'alarme, aucune alerte d'activité suspecte. La transaction semble parfaitement normale, jusqu'à ce que les fonds n'arrivent pas à la destination que vous attendiez, ce qui peut se produire minutes, heures, voire jours plus tard.

Les pertes causées par cette technique se sont accumulées pour atteindre plusieurs millions de dollars à travers les transferts en BTC, ETH et stablecoins. Des victimes individuelles ont signalé des pertes à cinq chiffres, et parfois à six chiffres. Des services de suivi des escroqueries et des sociétés d'analyse de chaîne ont documenté des grappes entières d'adresses ayant reçu des dépôts incohérents, souvent pour des montants prévisibles, comme le solde complet disponible d'un portefeuille compromis.

Comment le logiciel malveillant substitue réellement une adresse similaire

La substitution est le cœur de la ruse, et elle comporte deux couches. La première couche est la détection. Le logiciel malveillant surveille le presse-papiers à la recherche de chaînes qui correspondent au motif structurel d'une adresse crypto. Les adresses BTC sur le mainnet commencent par 1, 3, ou bc1. Les adresses ETH et la plupart des tokens ERC-20, dont l'USDT, commencent par 0x et contiennent 40 caractères hexadécimaux. Les adresses Solana sont des chaînes en base58 d'environ 32 à 44 caractères. Lorsque le logiciel malveillant détecte une chaîne qui correspond à l'un de ces motifs, il sait qu'il a affaire à une adresse crypto et déclenche la substitution.

La deuxième couche est la substitution. L'attaquant entretient une liste de ses propres adresses, souvent générée par un script qui force des clés jusqu'à ce que l'adresse résultante corresponde aux N premiers et M derniers caractères de l'adresse copiée par l'utilisateur. Pour ETH, où les adresses sont de courtes chaînes hexadécimales, générer une adresse vanity qui partage les six premiers et quatre derniers caractères de l'original est faisable en quelques minutes sur un seul GPU. Pour les adresses BTC au format legacy, les adresses vanity complètes sont coûteuses à miner, les attaquants se contentent donc souvent d'une correspondance partielle ou comptent sur l'inattention de l'utilisateur. Dans les deux cas, le logiciel malveillant choisit l'entrée la plus proche dans sa liste précalculée et remplace silencieusement le contenu du presse-papiers.

Certaines variantes vont plus loin. Quelques familles de stealers comparent la checksum de l'adresse d'origine et, si aucune adresse similaire valide n'est disponible, se contentent de remplacer le presse-papiers par une adresse d'attaquant totalement indépendante, pariant que l'utilisateur ne remarquera pas la différence. D'autres variantes ajoutent un léger délai afin que le collage apparaisse dans le portefeuille un instant après ce qu'attend l'utilisateur, imitant la latence normale du système. Rien de tout cela n'est visible sans inspecter le contenu du presse-papiers au niveau de l'octet.

Où vit l'attaque : système d'exploitation ou extension de navigateur

Les logiciels malveillants du presse-papiers peuvent siéger à deux couches, et la couche concernée détermine la défense dont vous avez besoin. La plus courante est le malware au niveau du système d'exploitation : un processus exécuté sur votre ordinateur avec un accès complet au presse-papiers système. Il se moque du logiciel de portefeuille que vous utilisez, du navigateur que vous ouvrez ou de l'exchange sur lequel vous êtes connecté. Tout programme qui lit le presse-papiers obtient la chaîne substituée. C'est la forme la plus dangereuse, car elle contourne presque toutes les défenses côté navigateur.

La deuxième couche est le malware au niveau des extensions de navigateur. Une extension malveillante installée depuis le Chrome Web Store, le store Firefox ou celui d'Edge peut lire le presse-papiers de l'onglet actif, intercepter les événements copier-coller dans les pages web et réécrire ce que voient les wallets ou exchanges web. Les attaques au niveau du navigateur sont généralement plus restreintes, puisque l'extension ne voit l'activité du presse-papiers qu'à l'intérieur du navigateur, mais elles sont aussi plus faciles à diffuser, parfois via de faux outils de productivité ou de faux assistants de portefeuille qui passent la revue du store, puis se mettent à jour eux-mêmes avec du code malveillant.

Se défendre contre ces deux couches requiert des outils différents. Les attaques au niveau du navigateur peuvent parfois être détectées en passant en revue vos extensions installées, en vous en tenant à des extensions de portefeuille bien connues, et en évitant toute extension qui demande des permissions étendues sur le presse-papiers. Les malwares au niveau du système d'exploitation sont plus difficiles à contrer. Ils peuvent provenir d'un keylogger bundled avec un logiciel piraté, d'un cheval de Troie caché dans une pièce jointe d'e-mail de phishing, ou d'une charge utile de second stade délivrée par un infostealer initial. Les scanners endpoint standards tels que Malwarebytes, Windows Defender ou des suites antivirus réputées peuvent détecter de nombreuses familles de stealers connues, mais la détection basée sur les signatures est à la traîne des nouvelles variantes, et les attaquants sophistiqués font tourner leurs charges utiles plus vite que les scanners ne se mettent à jour.

C'est pourquoi l'antivirus n'est pas la défense principale. Un scanner peut augmenter le coût d'une attaque et attraper les campagnes maladroites, mais il ne peut pas garantir la détection. La défense principale est procédurale : ne faites jamais confiance au presse-papiers.

Pourquoi l'approche par carnet d'adresses est fragile

Une réaction courante face au malware du presse-papiers consiste à éviter de copier les adresses et à enregistrer à la place les adresses de confiance dans le carnet d'adresses du portefeuille. En surface, cela semble résoudre le problème. Si vous ne copiez-collez jamais, la substitution dans le presse-papiers ne peut pas se produire. En pratique, le carnet d'adresses a ses propres faiblesses.

La première faiblesse est que le malware peut parfois réécrire le contenu d'un carnet d'adresses après que l'utilisateur l'a rempli. Certaines familles de stealers ciblent les wallets basés navigateur et injectent de nouvelles entrées qui ressemblent à des contacts légitimes. L'utilisateur croit sélectionner une adresse enregistrée dans un menu déroulant, mais ce menu contient désormais une adresse contrôlée par l'attaquant, placée à côté de la véritable.

La deuxième faiblesse est le comportement d'auto-remplissage. De nombreux wallets et exchanges remplissent automatiquement le champ de destination dès que vous sélectionnez un contact dans le carnet d'adresses. Si le malware n'a pas modifié l'entrée du contact mais a hooké la routine d'autofill, il peut substituer l'adresse entre la sélection et le rendu. L'utilisateur voit le nom de son contact, mais la chaîne sous-jacente n'est pas celle qu'il avait enregistrée à l'origine.

La troisième faiblesse est l'erreur humaine. Les entrées du carnet d'adresses peuvent être mal étiquetées. Un utilisateur peut enregistrer une adresse de dépôt d'exchange puis envoyer à une adresse de retrait, ou enregistrer un portefeuille personnel sous le mauvais contact. Les carnets d'adresses réduisent les erreurs de copier-coller, mais ils n'éliminent pas les erreurs de destination, et ils ne peuvent pas indiquer à l'utilisateur que l'adresse a été réécrite à une étape antérieure.

Le carnet d'adresses mérite d'être utilisé comme couche de commodité, mais ce n'est pas une frontière de sécurité. Il réduit la surface d'erreur pour les fautes occasionnelles. Il n'arrête pas un attaquant déterminé.

La défense qui fonctionne réellement : vérifier sur l'écran du portefeuille matériel

La seule défense qui tient face au malware du presse-papiers consiste à vérifier l'intégralité de l'adresse de destination sur un portefeuille matériel, ce petit appareil dédié qui stocke vos clés privées et signe les transactions en interne. Les appareils comme Ledger, Trezor et produits similaires disposent d'un petit écran de confiance qui affiche l'adresse pour laquelle la transaction est réellement signée. Comme l'adresse s'affiche sur le portefeuille matériel et non sur l'ordinateur potentiellement compromis, le malware ne peut pas la réécrire sans compromettre aussi l'appareil lui-même, ce qui constitue une attaque bien plus difficile.

L'habitude est simple, même si elle semble fastidieuse au début. Après avoir collé ou sélectionné une adresse dans votre logiciel de portefeuille, avant de cliquer sur envoyer, vous confirmez la transaction sur le portefeuille matériel et vous lisez chaque caractère de l'adresse de destination sur son écran. Si l'adresse sur l'appareil ne correspond pas à l'adresse que vous aviez en tête, vous rejetez la transaction. Cela rattrape les substitutions du presse-papiers, les altérations du carnet d'adresses et toute autre forme de réécriture d'adresse de dernière mile, car le malware aurait dû compromettre le portefeuille matériel pour y afficher une adresse différente.

Cette seule habitude fait la différence entre perdre ses fonds et ne pas les perdre dans la grande majorité des cas documentés de détournement du presse-papiers. C'est aussi pourquoi les utilisateurs crypto expérimentés considèrent l'écran du portefeuille matériel, et non celui de l'ordinateur, comme la source de vérité pour chaque transaction.

Pour les utilisateurs qui ne possèdent pas encore de portefeuille matériel, l'atténuation pratique consiste à envoyer d'abord une petite transaction de test. Envoyez quelques dollars en BTC, ETH ou USDT à destination, attendez qu'elle arrive, puis envoyez le montant plus important. Ce n'est pas une garantie contre le malware, mais cela fait remonter une substitution avant que l'essentiel des fonds ne parte. Le coût, c'est du temps et de petits frais de réseau. Le bénéfice, c'est la possibilité de détecter un presse-papiers compromis avant qu'il ne vous coûte tout.

Le rôle des analyseurs anti-malware, et pourquoi ils ne suffisent pas

Les outils de sécurité des terminaux ont leur rôle, mais pas le premier rôle. Des analyseurs comme Malwarebytes, Microsoft Defender et autres produits similaires conservent des signatures pour les familles de voleurs connues et peuvent mettre en quarantaine les fichiers infectés, analyser les extensions de navigateur et signaler les comportements suspects. Pour les utilisateurs qui installent des logiciels depuis des sources non fiables, ouvrent des pièces jointes d'expéditeurs inconnus ou téléchargent des applications piratées, exécuter un analyseur reconnu vaut toujours mieux que de ne rien exécuter du tout.

Cependant, la détection basée sur les signatures est toujours en retard d'une étape. De nouvelles variantes de voleurs apparaissent chaque jour, souvent distribuées via des réseaux de paiement à l'installation qui chargent différentes charges utiles sur différentes victimes pour échapper à l'identification. Un analyseur qui était à jour hier peut ne pas reconnaître la version d'aujourd'hui. La détection comportementale aide, mais elle génère des faux positifs qui poussent les utilisateurs à la désactiver.

Le constat réaliste est le suivant : les analyseurs augmentent le coût de l'attaque et démasquent les campagnes négligentes. Ils constituent une deuxième couche utile. Ce n'est pas la couche sur laquelle vous devez miser vos fonds. Misez vos fonds sur l'habitude de vérification avec un portefeuille matériel. Ce geste unique, répété à chaque transaction, ferme la porte que le malware de presse-papiers tente d'ouvrir.

Comment suivre l'actualité des malwares de presse-papiers de manière intelligente

Les malwares de presse-papiers évoluent en silence, avec de nouvelles familles de voleurs et de nouveaux canaux de distribution qui apparaissent plus vite que tout article ne peut le documenter. Suivre quelles campagnes sont actives, quelles extensions de portefeuille ont été signalées et quels chevaux de Troie au niveau du système circulent exige plus de signaux qu'une simple recherche occasionnelle. Zippfeed met en avant l'actualité de la sécurité crypto avec une notation de sentiment et un score d'importance, pour que vous puissiez repérer tôt les campagnes émergentes de détournement du presse-papiers et ajuster vos défenses avant que la prochaine vague n'atteigne votre machine.