Glossar / Privatsphäre und Sicherheit
Clipboard-Malware
Auch bekannt als Clipper-Malware.
- Was ist Clipboard-Malware?
- Clipboard-Malware sitzt auf einem infizierten Computer oder Smartphone und ersetzt still jede Bitcoin-Adresse, die Sie kopieren, durch eine, die dem Angreifer gehört, kurz bevor Sie sie einfügen.
Das ist die faulste profitable Malware, die je geschrieben wurde: Sie braucht weder Ihr Passwort noch Ihre Seed-Phrase oder auch nur Administratorrechte. Kasperskys Analyse des Trojaners CryptoShuffler im November 2017 bezifferte dessen Beute auf rund 23 Bitcoin, und eine Familie aus 2018 trug eine fest einprogrammierte Liste mit 2,3 Millionen Adressen zum Austauschen mit sich. Auf dem Bildschirm ändert sich nichts, wenn die Ersetzung geschieht, deshalb ist die einzige verlässliche Abwehr, die Adresse nach dem Einfügen zu prüfen.
Wie es funktioniert
Die Zwischenablage ist ein gemeinsam genutzter Notizzettel, und auf den meisten Desktop-Systemen kann jedes laufende Programm sie ohne Erlaubnis lesen und beschreiben.
Ein Clipper ist ein kleiner Hintergrundprozess, der diesen Notizzettel abfragt, meist einige Male pro Sekunde. Wenn der Inhalt einem Muster entspricht, das er erkennt, überschreibt er ihn. Die Mustererkennung ist trivial, denn Kryptowährungsadressen verraten sich selbst: Eine Bitcoin-Adresse im Legacy-Format beginnt mit 1, eine Script-Adresse mit 3, natives SegWit mit bc1q, Taproot mit bc1p, eine Ethereum-Adresse mit 0x gefolgt von 40 Hexadezimalzeichen. Die Malware hält pro Format eine Angreiferadresse bereit, damit die Ersetzung immer plausibel aussieht, und besser gebaute Versionen wählen den Ersatz, der die meisten führenden Zeichen mit dem von Ihnen kopierten Wert teilt, und bedienen sich damit des Tricks, der verwechselbar ähnliche Adressen funktionieren lässt.
Die Infektionswege sind gewöhnlich, nicht exotisch. Gecrackte Software und Spiel-Cheats, gefälschte Downloads von Wallet- oder Trading-Apps über Suchanzeigen, schädliche Browser-Erweiterungen mit Zugriff auf die Zwischenablage und vergiftete Pakete, die in Software-Registern unter Namen nahe bekannter Bibliotheken veröffentlicht werden. Auf Mobilgeräten konnten Apps die Zwischenablage früher im Hintergrund unbemerkt lesen; Android 12 zeigte 2021 erstmals eine Benachrichtigung, wann immer eine App dies tut, und Apple fügte in iOS 14 ein vergleichbares Einfüge-Banner hinzu. Wegen dieser Warnungen kommen mobile Clipper heute stattdessen eher als Teil einer vollständigen gefälschten Wallet-App.
Der Fehlermodus ist total. Sobald die Zahlung bestätigt ist, rund zehn Minuten später, gibt es in Bitcoin nirgends einen Mechanismus, sie zurückzuholen, und die Adresse des Angreifers ist neu und mit nichts verknüpft.
Wo es auftritt
Clipboard-Malware lohnt sich nur in den wenigen Momenten, in denen Sie eine Adresse kopieren, und diese Momente sind vorhersehbar.
Die Auszahlung von einer Börse auf Ihre eigene Wallet ist der wichtigste, und zugleich der am leichtesten abzusichernde. Registrieren Sie das Ziel in der Auszahlungs-Whitelist der Börse, während Sie ruhig sind, und eine ersetzte Adresse wird später einfach abgelehnt. Kraken, Coinbase und Binance unterstützen dies alle.
Eine Rechnung oder einen Händler zu bezahlen, ist der zweite. Scannen Sie nach Möglichkeit den QR-Code, statt Text zu kopieren, denn ein vom Empfänger erzeugter Code berührt Ihre Zwischenablage nie. Beachten Sie, dass ein kompromittierter Browser einen QR-Code auf einer Webseite auch neu zeichnen kann, behandeln Sie also beide Wege auf einem Rechner, dem Sie nicht trauen, als gleich verdächtig.
Das Senden von einer Hardware-Wallet ist der Punkt, an dem der Angriff scheitert, und der Grund, eine zu besitzen. Geräte von Trezor und Ledger zeigen die Zieladresse auf ihrem eigenen kleinen Bildschirm an und verlangen zum Bestätigen einen physischen Tastendruck. Dieser Bildschirm wird vom Gerät gesteuert, nicht vom infizierten Computer, ein Clipper kann also ändern, was die Desktop-App zeigt, und trotzdem nicht ändern, was Sie bestätigen sollen. Lesen Sie das Gerät, nicht den Monitor.
Zwei Gewohnheiten schließen die verbleibende Lücke. Vergleichen Sie Zeichen aus der Mitte der Adresse ebenso wie die ersten und letzten vier, denn Angreifer optimieren auf die Enden. Und wenn ein Einfügen je eine Adresse ergibt, die Sie nicht erwartet haben, halten Sie inne und behandeln Sie den Rechner als kompromittiert, statt erneut einzufügen, denn ein Clipper, der einmal gescheitert ist, versucht es beim nächsten Mal gern wieder.