Kurz erklärt:
Clipper-Malware ist eine Art von Schadsoftware, die den Inhalt der Zwischenablage eines Gerätes überwacht und eine kopierte Wallet-Adresse vor dem Einfügen unbemerkt durch eine vom Angreifer kontrollierte Adresse austauscht.
Herkunft und Verbreitung
Das Prinzip des Zwischenablage-Austauschs ist seit den frühen 2010er-Jahren bekannt und wurde mit der Verbreitung von Kryptowährungen zunehmend darauf ausgerichtet. Erste breit dokumentierte Kampagnen gegen Krypto-Adressen wurden ab etwa 2017 und 2018 beschrieben. Die Verbreitung erfolgt über manipulierte Software-Downloads, gefälschte Anwendungen, bösartige Browser-Erweiterungen sowie über App-Stores, in denen präparierte Anwendungen zeitweise verfügbar waren. Auch mobile Varianten für Android und Fälle mit manipulierten Versionen legitimer Messenger wurden nachgewiesen.
Technische Funktionsweise
Nach der Infektion läuft die Schadsoftware im Hintergrund und beobachtet die Systemzwischenablage. Sie nutzt Mustererkennung, um Zeichenketten zu identifizieren, die dem Format von Krypto-Adressen entsprechen, etwa Adressen für Bitcoin oder Ethereum. Wird eine solche Adresse erkannt, ersetzt die Malware sie durch eine Adresse aus einer eigenen Liste. Weil Wallet-Adressen lange, zufällig wirkende Zeichenfolgen sind, prüfen Nutzer sie beim Einfügen selten vollständig. Der Betrag wird dadurch an den Angreifer statt an den beabsichtigten Empfänger gesendet. Fortgeschrittene Varianten wählen aus einer Vielzahl hinterlegter Adressen jene aus, die dem Format der ursprünglich kopierten Adresse am ähnlichsten sieht.
Abgrenzung und Erkennung
Im Unterschied zu Keyloggern oder Info-Stealern liest Clipper-Malware keine Zugangsdaten aus, sondern manipuliert ausschliesslich Transaktionsziele. Als Gegenmassnahme gilt der vollständige Abgleich der eingefügten Adresse mit der Originaladresse vor dem Absenden, insbesondere Anfang und Ende der Zeichenkette. Manche Wallets bieten Adressbücher oder Prüfsummen-Anzeigen an, die eine Vertauschung erschweren. Clipper-Malware wird häufig gemeinsam mit anderer Schadsoftware verteilt und kann Teil größerer Kampagnen sein.
Ermittlungsrelevanz
Die hinterlegten Empfängeradressen sind für die Ermittlung von Bedeutung, da auf ihnen Zuflüsse mehrerer Opfer zusammenlaufen können. Solche Adressen lassen sich mit Blockchain-Analyse gruppieren und weiterverfolgen. Aus dem Programmcode der Schadsoftware extrahierte Adresslisten können zur Identifikation weiterer betroffener Transaktionen dienen.
Häufige Fragen
Wie merkt man, dass Clipper-Malware aktiv ist?
Ein deutliches Zeichen ist, dass die eingefügte Wallet-Adresse von der zuvor kopierten abweicht; ohne genauen Abgleich bleibt der Austausch jedoch oft unbemerkt.
Welche Kryptowährungen sind betroffen?
Grundsätzlich alle, deren Adressen ein erkennbares Format haben; dokumentiert sind unter anderem Bitcoin und Ethereum sowie zahlreiche weitere Netzwerke.
Wie schützt man sich vor Clipper-Malware?
Empfohlen werden das Herunterladen von Software nur aus vertrauenswürdigen Quellen, aktuelle Schutzsoftware und der vollständige Abgleich der Empfängeradresse vor jeder Transaktion.
Unterscheidet sich Clipper-Malware von einem Keylogger?
Ja, ein Keylogger zeichnet Tastatureingaben auf, während Clipper-Malware gezielt den Inhalt der Zwischenablage austauscht, um Transaktionsziele umzuleiten.
Sind die umgeleiteten Beträge rückholbar?
Bestätigte Blockchain-Transaktionen sind in der Regel unumkehrbar; die Zuflüsse bleiben aber sichtbar und können analytisch verfolgt werden.
Zusammenfassung
Clipper-Malware überwacht die Zwischenablage und ersetzt kopierte Krypto-Adressen unbemerkt durch Adressen des Angreifers, sodass Zahlungen umgeleitet werden. Sie verbreitet sich über manipulierte Downloads, Browser-Erweiterungen und Apps. Ein vollständiger Adressabgleich vor dem Absenden gilt als wirksame Gegenmassnahme.
Weiterführende Quellen
- ESET WeLiveSecurity: Cryptocurrency clipboard hijacker: www.welivesecurity.com
- Microsoft Security: Clipping malware and cryptocurrency theft: www.microsoft.com