Glossario / Privacy e sicurezza
Malware degli appunti
Noto anche come Malware della clipboard.
- Che cos'è il malware degli appunti?
- Il malware degli appunti si annida su un computer o uno smartphone infetto e sostituisce in silenzio qualsiasi indirizzo bitcoin tu copi con uno appartenente all'attaccante, pochi istanti prima che tu lo incolli.
È il malware redditizio più pigro mai scritto: non ha bisogno della tua password, della tua frase di recupero né dei privilegi di amministratore. L'analisi di Kaspersky sul trojan CryptoShuffler a novembre 2017 stimava il bottino in circa 23 bitcoin, e una famiglia del 2018 portava con sé un elenco predefinito di 2,3 milioni di indirizzi da sostituire. Nulla cambia sullo schermo quando avviene la sostituzione, quindi l'unica difesa affidabile è controllare l'indirizzo dopo averlo incollato.
Come funziona
Gli appunti sono una memoria condivisa, e sulla maggior parte dei sistemi desktop qualsiasi programma in esecuzione può leggerli e scriverli senza chiedere permesso.
Un clipper è un piccolo processo in background che interroga quella memoria, di solito alcune volte al secondo. Quando il contenuto corrisponde a un pattern che riconosce, lo sovrascrive. Il riconoscimento dei pattern è banale, perché gli indirizzi delle criptovalute si annunciano da soli: un indirizzo bitcoin legacy inizia con 1, un indirizzo script con 3, un SegWit nativo con bc1q, un Taproot con bc1p, un indirizzo Ethereum con 0x seguito da 40 caratteri esadecimali. Il malware tiene un indirizzo dell'attaccante per ogni formato, così la sostituzione sembra sempre plausibile, e le versioni meglio costruite scelgono il sostituto che condivide più caratteri iniziali con quello che hai copiato, prendendo in prestito il trucco che fa funzionare gli indirizzi simili.
Le vie di infezione sono ordinarie, non esotiche. Software craccato e trucchi per i videogiochi, download falsi di app per wallet o per il trading serviti tramite annunci di ricerca, estensioni del browser malevole con permessi sugli appunti e pacchetti avvelenati pubblicati nei registri software con nomi simili a quelli di library popolari. Su mobile, un tempo le app potevano leggere gli appunti in background senza essere notate; Android 12 nel 2021 ha iniziato a mostrare una notifica ogni volta che un'app lo fa, e Apple ha aggiunto un avviso analogo per l'incolla in iOS 14. Proprio per questi avvisi oggi i clipper per mobile tendono ad arrivare dentro una finta app wallet completa.
Il modo in cui fallisce è totale. Una volta che il pagamento si conferma, circa dieci minuti dopo, non esiste alcun meccanismo in bitcoin per recuperarlo, e l'indirizzo dell'attaccante è nuovo e non collegato a nulla.
Dove lo vedi
Il malware degli appunti si guadagna da vivere solo nei pochi momenti in cui copi un indirizzo, e quei momenti sono prevedibili.
Prelevare da un exchange verso il tuo wallet è il momento principale, ed è anche il più facile da difendere. Registra la destinazione nella whitelist dei prelievi dell'exchange mentre sei tranquillo, e un indirizzo sostituito verrà semplicemente rifiutato più tardi. Kraken, Coinbase e Binance la gestiscono tutti.
Pagare una fattura o un esercente è il secondo. Scansiona il codice QR invece di copiare testo quando puoi, dato che un codice generato dal destinatario non tocca mai i tuoi appunti. Tieni presente che un browser compromesso può anche ridisegnare un codice QR su una pagina web, quindi considera le due vie ugualmente sospette su una macchina di cui non ti fidi.
Inviare da un wallet hardware è il punto in cui l'attacco si sgretola, ed è il motivo per averne uno. I dispositivi Trezor e Ledger mostrano l'indirizzo di destinazione sul proprio piccolo schermo e richiedono la pressione di un pulsante fisico per approvare. Quello schermo è pilotato dal dispositivo, non dal computer infetto, quindi un clipper può cambiare ciò che mostra l'app desktop e comunque non può cambiare ciò che ti viene chiesto di confermare. Leggi il dispositivo, non il monitor.
Due abitudini chiudono il divario rimanente. Confronta i caratteri dal centro dell'indirizzo oltre ai primi e agli ultimi quattro, perché gli attaccanti ottimizzano per le estremità. E se un'operazione di incolla produce un indirizzo che non ti aspettavi, fermati e considera la macchina compromessa invece di incollare di nuovo, dato che un clipper che ha fallito una volta ci riproverà volentieri al tentativo successivo.