Clipper minhoca que se espalha por USB e rouba seeds cripto via Tor: a nova ameaça que coloca em jaque às carteiras digitais

Uma nova campanha maliciosa colocou em evidência que os atacantes continuam a explorar vetores físicos e técnicas de sigilo para esvaziar criptocarteras: trata-se de um clipeper com capacidades de verme (self‐spreading) que se propaga através de arquivos LNK em unidades USB e usa a rede Tor para esconder sua comunicação com o servidor de comando e controle.

Segundo a análise pública dos pesquisadores da Microsoft, o mecanismo inicial é simples, mas efetivo: o usuário abre acesso direto (.LNK) em uma unidade removível e esse acesso dispara a execução do malware. O código depois procura documentos, esconde os originais e substitui-os por atalhos maliciosos com o mesmo nome, o que provoca novas infecções cada vez que alguém tenta abrir esses arquivos. Além disso, o malware cria uma tarefa programada que monitora a conexão de unidades USB para copiar e propagar esses atalhos automaticamente, comportando-se como um verme local.

A parte mais perigosa está orientada para os ativos digitais: um componente “stealer” verifica a área de transferência de cada meio segundo e substitui endereços de carteiras e chaves/seed phrases por endereços controlados pelo atacante. São apontados formatos concretos (BIP39 de 12 e 24 palavras, chaves privadas de Ethereum e Bitcoin em diferentes formatos, endereços Tron e Monero, entre outros) e endereços sustitutas são projetados para parecer parcialmente às originais, reduzindo a possibilidade de detecção visual por parte do usuário. O malware também tira capturas de tela periódicas e exfiltra usando o cliente Tor incluído, e suporta instruções remotas que permitem baixar e executar código JavaScript no computador infectado.

As implicações para quem gerencia criptodivisas são claras e severas: nenhuma transacção revertida garante a recuperação Se uma chave ou seed tiver sido comprometida, especialmente quando os atacantes usam mecanismos de transferência rápida e misturadores ou criptomoedas privadas. Além disso, a capacidade de propagação por USB torna esta ameaça um risco para ambientes “air-gapped” mal geridos e para organizações com políticas laxas sobre dispositivos removíveis.

Do ponto de vista operacional, a campanha é sigilosa: evita executar ações se o administrador de tarefas estiver ativo, se apoia em wscript/cscript e em utilitários como curl e PowerShell para movimento lateral e exfiltração, e cria tráfego Tor local (por exemplo conexões a localhost:9050) para mascarar destinos .onion. Por isso, os indicadores mais confiáveis são comportamentais e não tanto assinaturas estáticas de arquivo.

Para usuários particulares a primeira recomendação é não conectar ou abrir arquivos de USB desconhecidos. Se gerir criptomoedas, use sempre carteiras de hardware (cold wallets) para assinar transações e verificar o endereço no ecrã do dispositivo antes de confirmar. Evite copiar e colar endereços da área de transferência para operações críticas; quando possível, use QR ou função de verificação de endereço do hardware wallet. Mantenha seus seed phrases fora de dispositivos conectados e escritos apenas em meios físicos seguros.

Para equipamentos de segurança e administradores, as contramedidas técnicas incluem desativar a execução automática e bloquear a execução de acessos diretos a partir de meios removíveis, aplicar políticas de listas brancas (AppLocker ou WDAC) para impedir a execução de binários não autorizados, e desactivar o Windows Script Host se não for necessário. Também é crucial criar regras de detecção baseadas em comportamento: alertas por execuções inesperadas de wscript.exe/cscript.exe que lancem curl ou PowerShell, por criar tarefas programadas que monitorizem dispositivos removíveis, e por ligações a localhost:9050 que indiquem uso de um proxy Tor local. Você pode ampliar sua análise com pesquisas de arquivos LNK recém-criados e arquivos ocultos que acompanhem documentos supostamente legítimos.

Se suspeitar de uma infecção, aisle a equipe da rede, retire as unidades USB e preserve imagens forenses antes de proceder. Revise tarefas programadas, processos filhos incomuns e o histórico da linha de comandos; procure executáveis com nomes suspeitos e presença de um cliente Tor empacotado. Se houver confirmação de compromisso de chaves ou seeds, considere mover fundos a partir das direcções afectadas a carteiras novas criadas em dispositivos públicos e seguros; tenha em conta que, em muitos casos, a recuperação de fundos não é possível sem ajuda judicial ou cooperação de plataformas intermediárias.

As organizações devem complementar a defesa preventiva com testes ofensivos controlados (breach & attack simulation) e revisões periódicas de EDR/SIEM: simule tentativas de execução a partir de meios removíveis para validar regras de detecção e ajuste alertas por comportamento antes de um atacante as explorar em ambientes reais. A Microsoft publica um relatório técnico com IoC e recomendações que convém rever para ajustar assinaturas e regras de detecção: Relatório Técnico da Microsoft.

Também é útil entender como os atacantes usam canais de anonimato: a rede Tor é usada aqui para alojar payloads e para exfiltrar dados, o que dificulta a rastreabilidade e retarda a resposta. Para melhor compreender a natureza dessa rede e como identificar seu uso em seu ambiente, consulte informações públicas do projeto Tor: The Tor Project. E se você precisa desativar componentes de scripting por razões de segurança, a Microsoft mantém documentação sobre como desativar o Windows Script Host de forma controlada: Guia Microsoft.

Em suma, esta campanha é uma mistura de técnicas antigas (USB e acessos diretos) com controles modernos de sigilo (Tor, exfiltração de screenshots, evasão de análise), o que a torna perigosa para usuários e organizações que tratam ativos digitais. A defesa eficaz exige combinar higiene digital do usuário, controles técnicos em endpoints e monitoramento baseado em comportamento para detectar e bloquear a cadeia de ataque antes que a perda de fundos seja materializada.