剪貼簿幽靈瘋狂盜取比特幣 360助使用者挽回1.8億

2018/6/20360TS
瞭解更多關於360安全衛士

一:木馬概述

360安全中心近期監控到一類虛擬貨幣類木馬非常活躍,該木馬不斷監控使用者的剪貼簿內容,判斷是否為比特幣、乙太坊等虛擬貨幣位址,然後在使用者交易的時候將目標位址修改成自己的位址,悄悄實施盜竊,我們將其命名為「剪切板幽靈」。 該木馬通過感染性病毒,木馬下載器,垃圾郵件在全球範圍傳播。

二:木馬分析

木馬入口函數處為迴圈讀取剪切板資料

讀取剪切板函數為:

判斷是否為乙太坊位址(ETH),如果是就替換掉剪切板裡面位址
替換函數為:

替換位址為
0x004D3416DA40338fAf9E772388A93fAF5059bFd5
該位址總計有46筆交易

最近幾次為

如果不是乙太坊位址(ETH),則檢測是否為比特幣(BTC)類型的位址(長度在25和40之間並且以1和3開頭,滿足Base58格式)

其中有兩個比特幣位址
1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1
19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL

1Fo開頭的位址第一筆交易發生在6月9日,目前有5比交易,目前持有0.089比特幣,累計獲利超過1.4萬。 該位址目前仍然活躍,最近一次交易發生在6月12日,有0.069比特幣入帳。

此類木馬,我們在過去一個月的攔截量超過了5萬筆,説明使用者挽回損失超過1.8億(根據木馬平均收益估算)。

三:安全提醒

近期各類竊取使用者虛擬貨幣的木馬非常活躍,讓人防不勝防。 注意保證安全軟體的常開以進行防禦一旦受誘導而不慎中招,儘快使用360安全衛士掃描清除木馬

瞭解更多關於360安全衛士