米メディアSlashdotの報道によると、MicrosoftはUSBドライブを介して拡散し、Torネットワークを悪用する新たな仮想通貨窃取マルウェア「Crypto Clipper」を発見しました。このマルウェアは、ユーザーのクリップボードを監視し、仮想通貨ウォレットアドレスを攻撃者のものにすり替えることで、デジタル資産を不正に奪い取ります。
「Crypto Clipper」の概要と感染経路
Microsoftが「Crypto Clipper」と命名したこのマルウェアは、自己増殖能力を持つワームの一種です。主にUSBドライブを介して感染を広げることが確認されています。感染したUSBメモリがデバイスに接続されると、その中に含まれる.lnkファイルに格納された実行コードが起動します。もしシステムにマルウェアが未インストールの場合、Torプロキシを経由してマルウェア本体をダウンロードします。さらに、証拠隠蔽のため、感染したUSBドライブ内の.lnkファイル名を既存のファイルに似せて偽装する巧妙な手口も用います。
巧妙な窃取手口：クリップボード監視とTor通信
「Crypto Clipper」は、デバイスのクリップボード内容を常時監視する機能を備えています。仮想通貨ウォレットアドレスやシードフレーズと一致するパターンを検出すると、自動的にその内容を攻撃者指定のウォレットアドレスに置き換えます。これにより、ユーザーが仮想通貨を送金しようとすると、意図せず攻撃者のウォレットに資金が送られてしまう事態が発生します。
通信にはポータブルなTorクライアントとローカルSOCKS5プロキシを利用し、C2（コマンド＆コントロール）サーバーとの通信を匿名化しています。この手法により、従来のIPベースのC2インフラに依存せず、追跡を極めて困難にしています。
情報窃取とバックドア機能も持つマルウェア
このマルウェアは、単に仮想通貨アドレスを置き換えるだけでなく、10秒間にわたって5枚のスクリーンショットを撮影する機能も備えています。これは、攻撃者が窃取した資金の背景情報を把握するために利用される可能性があります。Microsoftは、このマルウェアが金銭目的の窃取ツールに留まらず、リモートコード実行能力を持つ「軽量なバックドア」としても機能すると指摘しています。一度侵害されたデバイスは、攻撃者によって継続的に制御され、さらなる悪用が行われる危険性があるのです。
【管理人の視点】日本のユーザーが取るべき対策
日本においても、USBドライブを介したマルウェア感染リスクは依然として高く、特に仮想通貨の利用者が増える中で「Crypto Clipper」のような脅威への警戒が必要です。このマルウェアは、Windowsのデフォルト設定で拡張子を非表示にしている場合に、偽装された.lnkファイルと正規のフォルダを見分けにくくする巧妙な手口も用いると報じられています。
日本のユーザーは以下の対策を徹底することが重要です。
- 見知らぬUSBドライブの接続を避ける: 出所の不明なUSBメモリは絶対にPCに接続しないようにしましょう。
- セキュリティソフトの導入と更新: 最新の定義ファイルに更新されたセキュリティソフトを常に稼働させ、リアルタイム保護を有効にしてください。
- OSとソフトウェアの最新化: Windowsや他のソフトウェアのセキュリティパッチを速やかに適用し、既知の脆弱性を解消することが重要です。
- 拡張子表示設定の変更: Windowsのエクスプローラー設定で「登録されている拡張子は表示しない」のチェックを外し、常に拡張子を表示させるようにしましょう。これにより、.lnkファイルが偽装されていることに気づきやすくなります。
- クリップボード内容の確認: 仮想通貨の送金時など、重要な情報を貼り付ける際には、貼り付けた内容が意図したものであるか、必ず再確認する習慣を身につけてください。
- Torネットワークの悪用への認識: Torが匿名通信に利用されることで、攻撃者の追跡が困難になるため、一般的なセキュリティ対策だけでは不十分な場合があることを認識し、多層的な防御を心がける必要があります。
まとめ
Microsoftが警告する「Crypto Clipper」は、USB感染、クリップボード監視、Torによる匿名通信、そしてバックドア機能という複数の手口を組み合わせた、非常に巧妙な仮想通貨窃取マルウェアです。デジタル資産の保護には、基本的なセキュリティ対策の徹底に加え、疑わしいメディアの利用を避け、重要な情報の入力時には細心の注意を払うことが不可欠です。サイバー攻撃の手口は日々進化しており、ユーザー一人ひとりが最新の脅威動向を把握し、適切な防御策を講じることが求められます。
情報元：Slashdot
