Copier-coller peut vous coûter cher : Ce malware Windows détourne vos transactions crypto
Windows Alert ! L’équipe de recherche en sécurité de Microsoft vient de révéler les détails d’une campagne de cyberattaque active depuis février 2026, ciblant les utilisateurs du système d’exploitation Windows. Ce programme malveillant utilise un logiciel de type « clipper » pour intercepter le presse-papiers des victimes, tout en intégrant des capacités de propagation autonome par support amovible. L’infrastructure d’attaque s’appuie sur le réseau d’anonymisation Tor pour dissimuler ses communications avec le serveur de commandement et de contrôle. Cette double fonction de vol financier et de porte dérobée montre une sophistication notable dans les méthodes employées par les cybercriminels pour contourner les outils de détection traditionnels.
- Microsoft a révélé une cyberattaque ciblant Windows depuis 2026, utilisant un logiciel de type « clipper » pour intercepter le presse-papiers des victimes.
- Le programme malveillant se propage via des supports amovibles et utilise le réseau Tor pour cacher ses communications, rendant les détections traditionnelles inefficaces.
Mécanisme d’infection et propagation par support amovible
Selon la presse spécialisée, les attaquants propagent le logiciel malveillant en injectant un fichier de raccourci Windows infecté sur des clés USB. Lorsque l’utilisateur connecte le support, un module de type « ver » vérifie la présence d’une infection antérieure avant de télécharger la charge utile principale.
Pour maximiser sa diffusion, le programme analyse le périphérique amovible à la recherche de documents courants aux formats PDF, DOC ou XLSX, puis dissimule les fichiers originaux pour les remplacer par des raccourcis piégés portant le même nom. L’ouverture de ces documents factices déclenche l’exécution invisible du code malveillant et assure la réplication du ver sur les nouveaux disques connectés.
Afin de maintenir sa présence sur le système, le logiciel configure des tâches planifiées dans l’environnement Windows. Le composant principal utilise ensuite les scripts d’administration Windows Script Host et des objets ActiveX pour interagir directement avec le système d’exploitation.
Le programme intègre également des fonctions d’évitement spécifiques, provoquant son arrêt immédiat si l’utilisateur ouvre le Gestionnaire des tâches. Cette capacité d’effacement temporaire complique l’identification de l’anomalie par les outils de surveillance classiques basés sur l’analyse statique des processus en cours d’exécution.
Interception des données et exfiltration par le réseau Tor
Une fois installé, le logiciel déploie un client Tor portable configuré sur un proxy local pour masquer l’adresse IP du serveur de contrôle. Le programme génère un identifiant unique pour chaque victime avant d’entrer dans une boucle d’analyse continue, inspectant le presse-papiers toutes les 500 millisecondes.
Dès qu’un utilisateur copie une adresse de clé de stockage numérique, l’algorithme détecte la structure de la chaîne de caractères et la remplace par une adresse appartenant aux attaquants. Cette substitution modifie la destination finale des transactions lors des opérations de collage effectuées par la victime.
Au-delà de la manipulation des transactions, le logiciel extrait des captures d’écran régulières et recherche des phrases de récupération pour les envoyer vers le serveur distant. Le système permet aussi l’exécution de code à distance à la demande des attaquants, transformant le simple outil de vol en une passerelle d’accès permanent.
Pour contrer cette menace, les analystes de Microsoft recommandent de bloquer l’exécution des fichiers de raccourci depuis les médias amovibles par le biais de stratégies de groupe (Group Policy Objects ou GPO en anglais). La surveillance comportementale des moteurs de script et la restriction de l’utilisation des utilitaires système standard demeurent indispensables pour protéger les postes de travail manipulant des flux financiers.
La découverte de cette campagne informatique met en évidence le perfectionnement des techniques de dissimulation basées sur les outils natifs de Windows. La combinaison d’un module de réplication autonome et d’un routage des données par des réseaux anonymes complique le travail de rétro-ingénierie des équipes de sécurité. L’application rigoureuse des correctifs de configuration sur les ports de communication amovibles limite cependant l’efficacité de ces vecteurs d’attaque intersectoriels.
Ben Canton
Avec une formation en littérature et en langues, j’aime mêler l’analyse rigoureuse au goût des idées pour décrypter les grands enjeux économiques et (géo)politiques liés aux cryptomonnaies. Depuis 2021, j’écris pour le Journal du Coin où je me concentre sur des sujets comme le Bitcoin, les MNBC, la tokenisation des RWA et plus largement les mutations stratégiques du Web3. Lecteur passionné, curieux du monde et des rapports de pouvoir qui le structurent, je m’efforce de rendre ces thématiques accessibles à tous, avec une attention particulière pour les projets pensés pour le grand public.
