Malware de portapapeles

Este es el malware rentable más perezoso jamás escrito: no necesita su contraseña, su semilla, ni siquiera privilegios de administrador. El análisis de Kaspersky sobre el troyano CryptoShuffler en noviembre de 2017 situó su botín en unos 23 bitcoin, y una familia de 2018 llevaba codificada una lista de 2,3 millones de direcciones para intercambiar. Nada cambia en pantalla cuando ocurre la sustitución, así que la única defensa fiable es comprobar la dirección después de pegarla.

Cómo funciona

El portapapeles es un bloc de notas compartido, y en la mayoría de los sistemas de escritorio cualquier programa en ejecución puede leerlo y escribirlo sin pedir permiso.

Un clipper es un pequeño proceso en segundo plano que consulta ese bloc de notas, normalmente unas pocas veces por segundo. Cuando el contenido coincide con un patrón que reconoce, lo sobrescribe. La coincidencia de patrones es trivial, porque las direcciones de criptomonedas se anuncian a sí mismas: una dirección heredada (legacy) de bitcoin empieza por 1, una dirección de script por 3, SegWit nativo por bc1q, Taproot por bc1p, una dirección de Ethereum por 0x seguido de 40 caracteres hexadecimales. El malware guarda una dirección del atacante por cada formato para que la sustitución siempre parezca plausible, y las versiones mejor construidas eligen el sustituto que comparte más caracteres iniciales con lo que usted copió, tomando prestado el truco que hace funcionar las direcciones parecidas.

Las vías de infección son comunes, no exóticas. Software crackeado y trucos para videojuegos, descargas falsas de aplicaciones de billetera o de trading servidas mediante anuncios de búsqueda, extensiones de navegador maliciosas con permisos de portapapeles, y paquetes envenenados publicados en repositorios de software con nombres parecidos a los de bibliotecas populares. En dispositivos móviles, las aplicaciones antes podían leer el portapapeles en segundo plano sin ser detectadas; Android 12 en 2021 empezó a mostrar una notificación cada vez que una aplicación lo hace, y Apple añadió un aviso comparable al pegar en iOS 14. Esos avisos son la razón por la que los clippers móviles ahora tienden a llegar dentro de una aplicación de billetera falsa completa.

El modo de fallo es total. Una vez que el pago se confirma, unos diez minutos después, no existe ningún mecanismo en todo bitcoin para recuperarlo, y la dirección del atacante es nueva y no está vinculada a nada.

Dónde aparece

El malware de portapapeles solo se gana el sustento en el puñado de momentos en que usted copia una dirección, y esos momentos son predecibles.

Retirar de un exchange a su propia billetera es el más importante, y también el más fácil de proteger. Registre el destino en la lista blanca de retiro del exchange mientras está tranquilo, y una dirección sustituida simplemente será rechazada más tarde. Kraken, Coinbase y Binance lo admiten todos.

Pagar una factura o a un comercio es el segundo. Escanee el código QR en lugar de copiar texto siempre que pueda, ya que un código generado por el destinatario nunca toca su portapapeles. Tenga en cuenta que un navegador comprometido también puede redibujar un código QR en una página web, así que trate ambas vías como igual de sospechosas en una máquina en la que no confía.

Enviar desde una billetera de hardware es donde el ataque se viene abajo, y es la razón para tener una. Los dispositivos Trezor y Ledger muestran la dirección de destino en su propia pantalla pequeña y exigen pulsar un botón físico para aprobar. Esa pantalla está controlada por el dispositivo, no por la computadora infectada, así que un clipper puede cambiar lo que muestra la aplicación de escritorio y aun así no puede cambiar lo que le piden que confirme. Lea el dispositivo, no el monitor.

Dos hábitos cierran la brecha restante. Compare caracteres del medio de la dirección además de los primeros y los últimos cuatro, porque los atacantes optimizan para los extremos. Y si un pegado alguna vez produce una dirección que usted no esperaba, deténgase y trate la máquina como comprometida en lugar de volver a pegar, ya que un clipper que falló una vez lo intentará con gusto en el siguiente intento.