Glossaire / Confidentialité et sécurité
Malware de presse-papiers
Aussi appelé Clipboard malware.
- Qu'est-ce que Malware de presse-papiers ?
- Un logiciel malveillant de presse-papiers s'installe sur un ordinateur ou un téléphone infecté et remplace silencieusement toute adresse bitcoin que vous copiez par une adresse appartenant à l'attaquant, quelques instants avant que vous ne la colliez.
C'est le logiciel malveillant rentable le plus paresseux jamais écrit : il n'a pas besoin de votre mot de passe, de votre phrase de récupération, ni même de droits d'administrateur. La description par Kaspersky du cheval de Troie CryptoShuffler en novembre 2017 évaluait son butin à environ 23 bitcoin, et une famille de 2018 transportait une liste codée en dur de 2,3 millions d'adresses à substituer. Rien ne change à l'écran au moment de la substitution, la seule défense fiable est donc de vérifier l'adresse après l'avoir collée.
Comment cela fonctionne
Le presse-papiers est un espace de travail partagé, et sur la plupart des systèmes de bureau, tout programme en cours d'exécution peut le lire et y écrire sans demander d'autorisation.
Un clipper est un petit processus en arrière-plan qui interroge cet espace de travail, généralement quelques fois par seconde. Lorsque le contenu correspond à un motif qu'il reconnaît, il l'écrase. La reconnaissance de motif est triviale, car les adresses de cryptomonnaie s'annoncent d'elles-mêmes : une adresse bitcoin historique commence par 1, une adresse script par 3, une adresse SegWit native par bc1q, une adresse Taproot par bc1p, une adresse Ethereum par 0x suivie de 40 caractères hexadécimaux. Le logiciel malveillant conserve une adresse d'attaquant par format pour que le remplacement paraisse toujours plausible, et les versions mieux conçues choisissent le substitut qui partage le plus de caractères de tête avec ce que vous avez copié, empruntant l'astuce qui fait fonctionner les adresses sosies.
Les voies d'infection sont ordinaires plutôt qu'exotiques. Logiciels piratés et logiciels de triche pour jeux, faux téléchargements de portefeuille ou d'application de trading diffusés via des annonces de recherche, extensions de navigateur malveillantes dotées d'autorisations sur le presse-papiers, et paquets piégés publiés sur des registres logiciels sous des noms proches de bibliothèques populaires. Sur mobile, les applications pouvaient autrefois lire le presse-papiers en arrière-plan sans être remarquées ; Android 12 en 2021 a commencé à afficher une notification chaque fois qu'une application le fait, et Apple a ajouté une bannière de collage comparable dans iOS 14. Ces avertissements expliquent pourquoi les clippers mobiles ont désormais tendance à arriver à l'intérieur d'une fausse application de portefeuille complète.
Le mode de défaillance est total. Une fois le paiement confirmé, environ dix minutes plus tard, aucun mécanisme n'existe dans bitcoin pour le récupérer, et l'adresse de l'attaquant est neuve et sans lien avec quoi que ce soit.
Où vous le rencontrez
Un logiciel malveillant de presse-papiers ne gagne sa vie qu'aux quelques moments où vous copiez une adresse, et ces moments sont prévisibles.
Retirer depuis une plateforme d'échange vers votre propre portefeuille est le principal, et c'est aussi le plus facile à défendre. Enregistrez la destination dans la liste blanche de retrait de la plateforme pendant que vous êtes tranquille, et une adresse substituée sera simplement refusée plus tard. Kraken, Coinbase et Binance prennent tous cela en charge.
Payer une facture ou un commerçant est le deuxième. Scannez le QR code plutôt que de copier du texte quand vous le pouvez, car un code affiché par le destinataire ne touche jamais votre presse-papiers. Sachez qu'un navigateur compromis peut aussi redessiner un QR code sur une page web, alors traitez les deux voies comme également suspectes sur une machine à laquelle vous ne faites pas confiance.
Envoyer depuis un portefeuille matériel est le point où l'attaque échoue, et c'est la raison d'en posséder un. Les appareils Trezor et Ledger affichent l'adresse de destination sur leur propre petit écran et exigent une pression sur un bouton physique pour approuver. Cet écran est piloté par l'appareil, non par l'ordinateur infecté, un clipper peut donc modifier ce que l'application de bureau affiche et ne peut toujours pas modifier ce qu'il vous est demandé de confirmer. Lisez l'appareil, pas le moniteur.
Deux habitudes comblent l'écart restant. Comparez les caractères du milieu de l'adresse ainsi que les quatre premiers et les quatre derniers, car les attaquants optimisent les extrémités. Et si un collage produit une adresse que vous n'attendiez pas, arrêtez-vous et considérez la machine comme compromise plutôt que de coller à nouveau, car un clipper qui a échoué une fois réessaiera volontiers à la tentative suivante.