Malware de área de transferência

Este é o malware rentável mais preguiçoso já escrito: não precisa da sua senha, da sua frase de recuperação nem mesmo de direitos de administrador. A análise da Kaspersky sobre o trojan CryptoShuffler em novembro de 2017 estimou o seu butim em cerca de 23 bitcoin, e uma família de 2018 trazia uma lista codificada de 2,3 milhões de endereços para trocar. Nada muda na tela quando a substituição acontece, então a única defesa confiável é verificar o endereço depois de colar.

Como funciona

A área de transferência é um bloco de rascunho compartilhado, e na maioria dos sistemas de desktop qualquer programa em execução pode ler e escrever nela sem pedir permissão.

Um clipper é um pequeno processo em segundo plano que consulta esse bloco de rascunho, geralmente algumas vezes por segundo. Quando o conteúdo corresponde a um padrão que ele reconhece, ele o sobrescreve. A correspondência de padrões é trivial, porque os endereços de criptomoedas se anunciam: um endereço bitcoin legado começa com 1, um endereço de script com 3, o SegWit nativo com bc1q, o Taproot com bc1p, um endereço Ethereum com 0x seguido de 40 caracteres hexadecimais. O malware mantém um endereço do atacante por formato, para que a substituição sempre pareça plausível, e as versões mais bem construídas escolhem o substituto que compartilha mais caracteres iniciais com o que você copiou, pegando emprestado o truque que faz os endereços parecidos funcionarem.

As vias de infecção são comuns, não exóticas. Software pirata e cheats de jogos, downloads falsos de aplicativos de carteira ou de negociação servidos por anúncios de busca, extensões de navegador maliciosas com permissões de área de transferência e pacotes envenenados publicados em repositórios de software com nomes próximos aos de bibliotecas populares. No celular, os aplicativos antes podiam ler a área de transferência em segundo plano sem ser notados; o Android 12 em 2021 começou a mostrar uma notificação sempre que um aplicativo faz isso, e a Apple adicionou um aviso de colagem comparável no iOS 14. Esses avisos são a razão pela qual os clippers de celular agora tendem a chegar dentro de um aplicativo de carteira falso completo.

O modo de falha é total. Depois que o pagamento é confirmado, cerca de dez minutos mais tarde, não existe nenhum mecanismo em todo o bitcoin para recuperá-lo, e o endereço do atacante é novo e não está vinculado a nada.

Onde você o encontra

O malware de área de transferência só compensa nos poucos momentos em que você copia um endereço, e esses momentos são previsíveis.

Sacar de uma corretora para a sua própria carteira é o principal, e também é o mais fácil de defender. Registre o destino na lista de permissões de saque da corretora enquanto você está tranquilo, e um endereço substituído simplesmente será recusado depois. A Kraken, a Coinbase e a Binance são compatíveis com isso.

Pagar uma fatura ou um comerciante é o segundo. Escaneie o código QR em vez de copiar texto sempre que puder, já que um código gerado pelo destinatário nunca passa pela sua área de transferência. Saiba que um navegador comprometido também pode redesenhar um código QR em uma página web, então trate os dois caminhos como igualmente suspeitos em uma máquina em que você não confia.

Enviar de uma carteira de hardware é onde o ataque falha, e é a razão para ter uma. Os dispositivos Trezor e Ledger mostram o endereço de destino na própria tela pequena e exigem o pressionamento de um botão físico para aprovar. Essa tela é controlada pelo dispositivo, não pelo computador infectado, então um clipper pode mudar o que o aplicativo de desktop mostra e ainda assim não pode mudar o que você é solicitado a confirmar. Leia o dispositivo, não o monitor.

Dois hábitos fecham a lacuna restante. Compare caracteres do meio do endereço, além dos quatro primeiros e dos quatro últimos, porque os atacantes otimizam para as extremidades. E se uma colagem alguma vez produzir um endereço que você não esperava, pare e trate a máquina como comprometida em vez de colar de novo, já que um clipper que falhou uma vez tentará de bom grado na próxima tentativa.