Microsoft ha alertado sobre un malware tipo clipper para Windows que roba criptomonedas sustituyendo direcciones de billeteras en el portapapeles. Se propaga mediante archivos LNK en dispositivos USB y utiliza la red Tor para comunicarse con su servidor de control y evadir detecciones. Además de robar fondos, el software captura pantallas y permite la ejecución remota de código, funcionando como una puerta trasera.





Microsoft ha revelado detalles de una campaña de clipper de criptomonedas basada en Windows que ha tenido como objetivo a los usuarios desde febrero de 2026.

"El clipper de esta campaña se basa en Windows Script Host y en la lógica impulsada por ActiveX para lanzar un proxy Tor incluido y consultar un servidor C2 [comando y control] de servicio oculto", afirmó el Equipo de Investigación de Seguridad de Microsoft Defender en un análisis publicado el martes aquí. "Lleva a cabo el robo de portapapeles de alta frecuencia, la exfiltración de capturas de pantalla y la sustitución de direcciones de monederos".

"La ejecución de este clipper es notable porque no depende de un instalador tradicional ni de una infraestructura C2 basada en IP expuesta. En su lugar, despliega un cliente Tor portable, enruta el tráfico a través de un proxy SOCKS5 local y combina el robo de datos con la ejecución remota de código, convirtiendo un robador con fines lucrativos en una puerta trasera ligera".

Malware clipper

El malware clipper se refiere a un tipo de software malicioso que monitorea silenciosamente el portapapeles del usuario e intercepta datos sensibles pegados en el búfer a corto plazo. Se dirige principalmente a las transacciones de criptomonedas sustituyendo las cadenas de direcciones de los monederos que coincidan con patrones conocidos de direcciones de blockchain para redirigirlas a direcciones bajo su control.

Los ataques consisten en distribuir un archivo de acceso directo de Windows (LNK) malicioso a través de dispositivos de almacenamiento USB; al abrirlo, se activa un componente de gusano que comprueba si la máquina ya está infectada y solo procede a obtener la carga útil de un servidor remoto si no está presente. Un segundo módulo desplegado es el clipper, que recolecta y exfiltra información de monederos de criptomonedas.

La carga útil LNK escanea el dispositivo USB en busca de tipos de documentos comunes como DOC, XLSX y PDF y, si los encuentra, los oculta y crea nuevos archivos LNK con los mismos nombres de archivo y que contienen argumentos que dirigen al componente del gusano. Así, cuando un usuario desprevenido lanza el acceso directo pensando que está abriendo un documento inofensivo, se activa la ejecución del malware.

El componente del gusano, además de asegurar la propagación a otras unidades USB no comprometidas, despliega tareas programadas como forma de persistencia tanto para el componente del gusano como para el componente robador. El clipper, por su parte, utiliza WScript y ActiveXObject para interactuar con el sistema operativo, y se cierra si el Administrador de tareas se encuentra entre la lista de procesos en ejecución activos para evadir la detección.

En la etapa final, el malware lanza un binario de Tor renombrado en una ventana oculta, genera un identificador de víctima único y lo registra en el servidor externo. Una vez completado este paso, el malware entra en un bucle continuo, consultando periódicamente el servidor C2 para obtener instrucciones mientras monitorea simultáneamente el portapapeles aproximadamente cada 500 milisegundos para extraer frases semilla y claves privadas.

"También secuestra direcciones de criptomonedas sustituyendo los valores de los monederos copiados por alternativas controladas por el atacante y sube capturas de pantalla a través de Tor", dijo Microsoft. "Si el C2 devuelve una respuesta EVAL, el malware ejecuta código suministrado por el atacante en tiempo de ejecución".

El gigante tecnológico ha recomendado que priorices las detecciones conductuales sobre las firmas estáticas, buscando específicamente la captura de pantalla basada en PowerShell y el uso de WScript, CScript o motores de script relacionados para lanzar curl, cmd.exe, PowerShell o ejecutables inesperados.

Otras mitigaciones incluyen la desactivación de AutoRun/AutoPlay para todos los medios extraíbles, el bloqueo de la ejecución de LNK desde unidades extraíbles a través de Objetos de Política de Grupo (GPO), la restricción del uso innecesario de wscript.exe o cscript.exe y la revisión de los comportamientos relacionados con el portapapeles y la captura de pantalla en dispositivos que manejen flujos de trabajo financieros sensibles.

Fuente:
THN