Глоссарий / Приватность и безопасность
Вредоносная программа для буфера обмена
Другие названия: Клиппер, Clipboard malware.
- Что такое вредоносная программа для буфера обмена?
- Вредоносная программа для буфера обмена работает на зараженном компьютере или смартфоне и незаметно подменяет любой скопированный адрес биткоина на адрес, принадлежащий злоумышленнику, за мгновение до того, как вы его вставите.
Это самая ленивая прибыльная вредоносная программа из когда-либо написанных: ей не нужны ни ваш пароль, ни сид-фраза, ни даже права администратора. Разбор трояна CryptoShuffler, опубликованный Kaspersky в ноябре 2017 года, оценил его добычу примерно в 23 биткоина, а семейство 2018 года несло в себе жестко заданный список из 2,3 млн адресов для подмены. На экране ничего не меняется, когда происходит подмена, поэтому единственная надежная защита состоит в проверке адреса после вставки.
Как это работает
Буфер обмена представляет собой общий рабочий блокнот, и в большинстве настольных систем любая запущенная программа может читать его и записывать в него, не запрашивая разрешения.
Клиппер представляет собой небольшой фоновый процесс, который опрашивает этот блокнот, обычно несколько раз в секунду. Когда содержимое совпадает с распознаваемым шаблоном, он перезаписывает его. Сопоставление с шаблоном не составляет труда, потому что адреса криптовалют сами себя выдают: устаревший адрес биткоина начинается с 1, адрес скрипта с 3, нативный SegWit с bc1q, Taproot с bc1p, адрес Ethereum с 0x, за которым следуют 40 шестнадцатеричных символов. Вредоносная программа хранит по одному адресу злоумышленника для каждого формата, чтобы подмена всегда выглядела правдоподобно, а более качественно сделанные версии выбирают замену, которая имеет больше всего общих начальных символов с тем, что вы скопировали, заимствуя прием, благодаря которому работают похожие адреса.
Пути заражения обычные, а не экзотические. Взломанное программное обеспечение и читы для игр, поддельные загрузки кошельков или торговых приложений, распространяемые через поисковую рекламу, вредоносные расширения браузера с разрешениями на буфер обмена и зараженные пакеты, опубликованные в реестрах программного обеспечения под именами, близкими к популярным библиотекам. На мобильных устройствах приложения когда-то могли читать буфер обмена в фоновом режиме незаметно; Android 12 в 2021 году начал показывать уведомление каждый раз, когда приложение это делает, а Apple добавила аналогичный баннер вставки в iOS 14. Именно эти предупреждения привели к тому, что мобильные клипперы теперь чаще оказываются внутри полноценного поддельного приложения кошелька.
Отказ носит тотальный характер. Как только платеж подтвержден, примерно через десять минут, никакого механизма в биткоине, чтобы вернуть его, не существует, а адрес злоумышленника является новым и ни с чем не связан.
Где это встречается
Вредоносная программа для буфера обмена окупается лишь в те несколько моментов, когда вы копируете адрес, и эти моменты предсказуемы.
Вывод с биржи в собственный кошелек является самым важным из них, и его же проще всего защитить. Заранее, в спокойной обстановке, внесите адрес назначения в белый список для вывода на бирже, и подмененный адрес просто будет отклонен позже. Kraken, Coinbase и Binance все это поддерживают.
Оплата счета или покупки у продавца стоит на втором месте. Сканируйте QR-код, а не копируйте текст, где это возможно, поскольку код, сформированный получателем, никогда не попадает в ваш буфер обмена. Учтите, что скомпрометированный браузер тоже может перерисовать QR-код на веб-странице, поэтому относитесь к обоим путям как к одинаково подозрительным на машине, которой вы не доверяете.
Именно при отправке с аппаратного кошелька атака ломается, и это причина обзавестись таким кошельком. Устройства Trezor и Ledger показывают адрес назначения на собственном небольшом экране и требуют физического нажатия кнопки для одобрения. Этот экран управляется устройством, а не зараженным компьютером, поэтому клиппер может изменить то, что показывает настольное приложение, и всё равно не может изменить то, что вам предлагают подтвердить. Читайте устройство, а не монитор.
Две привычки закрывают оставшийся пробел. Сравнивайте символы из середины адреса, а также первые и последние четыре, потому что злоумышленники оптимизируют края. И если вставка когда-либо дает адрес, которого вы не ожидали, остановитесь и считайте машину скомпрометированной, а не вставляйте снова, поскольку клиппер, который однажды потерпел неудачу, с удовольствием попробует в следующий раз.