Seguridad de pagos: troyanos que reemplazan las direcciones de las billeteras de criptomonedas de los usuarios

Cada vez más virus y troyanos nuevos ponen en peligro la seguridad de los fondos de los usuarios de criptomonedas.

Casi simultáneamente con la llegada de las criptomonedas, apareció software malicioso (virus, troyanos, etc.), especialmente "adaptado" para funcionar específicamente con criptomonedas. El tipo más común son los llamados mineros, que utilizan el poder de un dispositivo infectado para minar criptomonedas en beneficio de sus autores. Ya escribimos sobre el último de ellos, “Digimine”, en uno de nuestros artículos anteriores “El minero oculto de criptomonedas Digmine es distribuido por hackers a través de Facebook Messenger".

Pero en el artículo de hoy hablaremos de otro tipo de troyanos, menos visible pero mucho más insidioso. A diferencia de un minero troyano (que simplemente utiliza los recursos de su dispositivo, creando una carga innecesaria), puede provocar la pérdida de sus fondos personales. Este troyano monitorea el contenido del portapapeles y, si detecta una línea que estructuralmente es una dirección para Bitcoin, Litecoin, DASH o cualquier otra criptomoneda, la reemplaza con su propia dirección. La mayoría de los usuarios no notan la sustitución y continúan trabajando, realizando una transacción a la dirección falsificada. Como resultado, los fondos no los recibe el destinatario original, sino el atacante.

Este tipo de troyano fue descubierto por primera vez en agosto de 2014 por el centro polaco CERT. Cada año, estos troyanos se volvieron más y más sofisticados, no sólo reemplazando la dirección por la suya propia, sino también seleccionando una dirección (o, en algunos casos, incluso generando una nueva) similar a la dirección del usuario, por ejemplo, una en la que los tres primeros y últimos caracteres coincidan con la dirección del usuario. Un vistazo rápido a esta dirección no despertará sospechas. Así, en febrero de 2016, Symantec descubrió el caballo de Troya Trojan.Coinbitclip, que se distribuía con una base de 10.000 direcciones Bitcoin, lo que permitía seleccionar rápidamente una dirección similar a la de la víctima.

En noviembre de 2017, Kaspersky Lab descubrió un nuevo troyano: CryptoShuffler, que reemplaza las direcciones de Bitcoin, Ethereum, Zcash, Moneroo, Dash y otras criptomonedas... Al mismo tiempo, en el momento del descubrimiento, CryptoShuffler ya existía desde hacía aproximadamente un año y logró recolectar al menos 23 BTC.

Este tipo de malware es extremadamente difícil de detectar porque... no crea carga adicional en el sistema operativo del usuario, no abre conexiones de red adicionales y no realiza ninguna otra operación sospechosa. Esta es la razón por la que los fabricantes de software antivirus no se apresuran a incluir las firmas de estos troyanos en sus bases de datos antivirus. Actualmente, no existe una solución confiable para proteger y detectar automáticamente troyanos que reemplacen las direcciones de billeteras criptográficas en el portapapeles.

Es por eso que recomendamos a todos los usuarios de criptomonedas no solo confiar en el software antivirus, sino también verificar cuidadosamente los detalles del pago antes de enviarlo y, si es posible, seleccionar direcciones de la libreta de direcciones (la mayoría de las billeteras ofrecen esta función).