黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

攻击者会挑选特定目标用户发起攻击，像这些用户群发钓鱼链接，当有用户不慎在PC端打开时，攻击即被触发。

攻击者利用该漏洞，通过聊天软件进程下发并执行剪贴板木马。攻击发起时的进程树如下图：

该木马执行后即开始工作，每隔300毫秒检查一次剪贴板中数据，如果发现内容长度大于25则进行比特币钱包地址的搜索和替换。

搜索比特币地址方式是字符串首字母为’1’、’3’、’b’、’0’的位置。这次所发现的木马对其中3种格式的地址进行替换，包括’1’开头的传统地址、’3’开头的P2SH地址、’0x’开头的以太坊地址。

如果发现粘贴板内容能够匹配上之后，即对内容中的地址字符串进行替换，木马内置了大量钱包地址，从中随机选择。含有传统地址和P2SH地址各25个，以太坊地址15个。（我们在分析中发现，由于木马随机算法问题，三个地址列表中的后2个地址无法被使用到）。

木马内置钱包地址如下

从4月18号初次出现至今，已有大量用户受到该木马影响：

360安全大脑建议用户，尽快将聊天软件升级至最新版，解决该漏洞问题。

使用360安全产品的用户也无需担心，360安全卫士已增加对该漏洞攻击的防护，并且早在2018年就已推出区块链防火墙，抵御此类剪贴板木马攻击。

当用户在进行加密货币交易时，开启“区块链防火墙”功能后，如果剪贴板中“银行卡号”被篡改，360安全产品就会弹出警示窗口。360安全大脑建议币圈人士，都安装并开启该功能。

MD5

16529046ab84cf9addb74cfd76dbab89

360AISA全流量威胁分析系统

针对微软本次安全更新，360AISA已基于流量侧提供对应检测能力更新，请AISA用户联系[email protected]获取更新，尽快升级检测引擎和规则，做好安全防护工作。

360企业安全浏览器

360企业安全浏览器相比传统浏览器，360企业安全浏览器兼集中管控、企业数据防护、安全大脑赋能、跨平台适配、商用密码算法支持、应用兼容等六大特点。请用户前往360企业安全浏览器获取对应产品。

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn)，通过资产测绘技术的方式，对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段，对该类漏洞的利用进行实时检测和阻断，请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀，其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台，实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测，请及时更新网络神经元（探针）规则和本地安全大脑关联分析规则，做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下，以大数据、云计算等新技术为支撑，以可靠服务为保障，集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复，建议用户及时更新漏洞库并安装更新相关补丁。

2021-04-18 360安全大脑发现威胁

2021-04-23 360CERT发布通告

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】黑客利用聊天软件漏洞植入剪贴板木马窃取比特币.pdf

若有订阅意向与定制需求请扫描下方二维码进行信息填写，或发送邮件至g-cert-report#360.cn ，并附上您的 公司名、姓名、手机号、地区、邮箱地址。