Cómo llegamos aquí

Microsoft publicó el análisis esta semana. El gusano se distribuye mediante archivos de acceso directo (.lnk) en memorias USB. Cuando la víctima abre el archivo, el malware verifica si el equipo ya está infectado y, si no lo está, descarga la carga útil desde un servidor oculto en Tor.

Una vez dentro, el gusano busca documentos del sistema (DOC, XLSX, PDF), los oculta y los reemplaza por accesos directos maliciosos con el mismo nombre. También crea una tarea programada que monitorea nuevas memorias USB y replica el malware en ellas.

Lo que roba el malware

Cada medio segundo, Crypto Clipper revisa el portapapeles en busca de:

  • Frases semilla BIP39 de 12 y 24 palabras
  • Claves privadas de Ethereum
  • Claves WIF de Bitcoin
  • Direcciones de Bitcoin (legacy, P2SH, Bech32, Taproot)
  • Direcciones de Tron y Monero

Además, toma cinco capturas de pantalla en un lapso de 10 segundos. Todo se envía al atacante a través de Tor usando un proxy SOCKS5.

Entre líneas

El gusano no depende de un instalador tradicional ni de una dirección IP fija para comunicarse con el servidor de control. Esto lo convierte en una puerta trasera ligera que mezcla robo de datos con capacidad de ejecución remota. La técnica de reemplazar direcciones de billetera por unas similares dificulta que la víctima note el fraude a simple vista.

Qué sigue

Los usuarios deben evitar conectar memorias USB de origen desconocido. Si lo hacen, es recomendable verificar manualmente las direcciones de billetera antes de confirmar cualquier transacción de criptomonedas. Microsoft recomienda mantener el sistema actualizado y el antivirus activo para detectar este tipo de amenazas.