Comment éviter les logiciels malveillants du presse-papiers lors de la copie d'adresses de portefeuille

Comprendre les mécanismes des logiciels malveillants du Presse-papiers

1. Le logiciel malveillant Presse-papiers fonctionne en s'injectant dans le service de presse-papiers du système d'exploitation et en surveillant des modèles spécifiques tels que les formats d'adresse Ethereum ou Bitcoin.

2. Une fois l'adresse du portefeuille copiée, le processus malveillant la remplace par une adresse précalculée contrôlée par l'attaquant qui imite visuellement l'originale, en faisant souvent correspondre les six premier et dernier caractères pour échapper à la détection.

3. Le remplacement s'effectue en moins de 50 millisecondes, ce qui le rend imperceptible lors d'une interaction normale de l'utilisateur, en particulier sur les appareils dotés de piles d'entrée à haute latence.

4. Ces charges utiles arrivent généralement via des extensions de navigateur se faisant passer pour des intégrations de portefeuille, des APK piratés pour les applications de cryptographie Android ou de faux outils « d'optimisation des frais d'essence » distribués via les canaux Telegram.

5. Contrairement aux chevaux de Troie traditionnels, les pirates de presse-papiers déclenchent rarement des alertes antivirus car ils s'appuient uniquement sur des API légitimes du système d'exploitation, sans persistance des fichiers ni balisage du réseau.

Failles de vérification d’adresse de portefeuille matériel

1. Les portefeuilles matériels affichent les adresses des destinataires sur les écrans de l'appareil pour permettre une vérification manuelle, mais les limites cognitives humaines empêchent une vérification visuelle complète des chaînes Ethereum de 42 caractères.

2. Les attaquants exploitent cette limitation en générant des adresses de collision à l'aide de bases de données distribuées comme ClipperCloud, obtenant ainsi une similarité visuelle jusqu'à 25 chiffres par rapport aux chaînes cibles.

3. Les versions du micrologiciel Trezor antérieures à 24.6.1 n'imposaient pas de confirmation obligatoire de l'adresse complète pour les interactions contractuelles, ce qui permettait de contourner l'affichage partiel lors des transferts de jetons.

4. Les utilisateurs de Ledger Nano S+ ont observé une validation de somme de contrôle incohérente dans différents environnements dApp, permettant l'usurpation d'adresse en minuscules uniquement dans certaines configurations MetaMask.

5. Le micrologiciel KeepKey v9.3.0 a introduit un comportement de troncature silencieuse lors du rendu des noms ENS longs, créant une ambiguïté entre les chemins de résolution légitimes et malveillants.

Vulnérabilités du presse-papiers spécifiques à Android

1. L'API ClipboardManager d'Android accorde un accès en lecture/écriture à toute application détenant l'autorisation ACCESS_CLIPBOARD, sans aucune invite de consentement à l'exécution introduite avant Android 14.

2. Les applications de clavier tierces demandent fréquemment l'accès au presse-papiers sous couvert de « prédiction de texte », permettant la récolte secrète des adresses de portefeuille collées lors de la configuration de la transaction.

3. Les ROM personnalisées basées sur LineageOS 21 omettent les correctifs de cryptage du presse-papiers présents dans les versions officielles de Pixel, laissant le contenu du presse-papiers lisible dans les fichiers /data/system/clipboard/plaintext.

4. Samsung One UI 6.1 inclut une fonctionnalité de synchronisation de l'historique du presse-papiers non documentée qui transmet des extraits d'adresse non cryptés aux serveurs Samsung Cloud, sauf si elle est explicitement désactivée dans Paramètres > Fonctionnalités avancées > Historique du Presse-papiers.

5. Les applications ciblant le SDK 33+ doivent déclarer android.permission.READ_CLIPBOARD dans le manifeste, mais de nombreux portefeuilles cryptographiques existants conservent des autorisations étendues sans justification d'exécution, augmentant ainsi la surface d'attaque.

Alternatives sécurisées au copier-coller traditionnel

1. La numérisation de code QR directement à partir des interfaces de portefeuille élimine entièrement l'intermédiation du presse-papiers : Trezor Suite et Exodus prennent tous deux en charge l'importation d'adresses natives basées sur une caméra sans exposition à la mémoire.

2. Les flux de travail de signature isolés utilisant les transferts de cartes microSD isolent les opérations de clé privée des appareils connectés à Internet, empêchant ainsi l'interception du presse-papiers à la source.

3. Le protocole PSBT (Partially Signed Bitcoin Transaction) d'Electrum permet la génération de signatures hors ligne tout en gardant les adresses de destination confinées dans des charges utiles binaires structurées plutôt que dans des tampons de texte.

4. Les modules MetaMask Snap comme « AddressGuard » implémentent la validation de la somme de contrôle en temps réel par rapport aux explorateurs de blockchain connus avant la soumission de la transaction, signalant les incohérences avant la diffusion.

5. Le mode « Envoyer via NFC » de Ledger Live établit un transfert direct d'adresse d'appareil à appareil à l'aide de signaux radio cryptés à courte portée, contournant complètement les services du presse-papiers du système d'exploitation.

Foire aux questions

Q : Un logiciel antivirus peut-il détecter les logiciels malveillants du presse-papiers ? La plupart des moteurs antivirus basés sur les signatures ne parviennent pas à identifier les pirates de l'air du presse-papiers car ils n'écrivent pas de fichiers exécutables ni ne modifient les entrées de registre. Les outils d'analyse comportementale tels que Malwarebytes Premium ou Bitdefender GravityZone peuvent signaler des intervalles d'interrogation anormaux du presse-papiers, mais nécessitent une configuration manuelle des règles.

Q : L'effacement de l'historique du presse-papiers empêche-t-il le vol d'adresse ? L'effacement de l'historique du Presse-papiers supprime uniquement les entrées visibles dans l'interface utilisateur du système ; elle ne purge pas les hooks de logiciels malveillants résidant en mémoire. Les adresses restent accessibles aux processus malveillants jusqu'au redémarrage ou à la fin du processus actif.

Q : Les appareils iOS sont-ils immunisés contre les attaques du presse-papiers ? iOS restreint l'accès au presse-papiers aux applications de premier plan uniquement, réduisant ainsi les risques par rapport à Android. Cependant, les extensions Safari approuvées par les directives d'examen de l'App Store d'Apple ont exploité avec succès les API du carton pour intercepter les adresses Ethereum depuis iOS 16.4.

Q : Les mises à jour du micrologiciel du portefeuille matériel atténuent-elles entièrement les attaques de type EthClipper ? Les correctifs du micrologiciel corrigent les vecteurs d’exploitation connus mais ne peuvent pas éliminer les limitations fondamentales de la vérification humaine. Les attaquants adaptent continuellement les algorithmes de collision pour correspondre aux schémas de somme de contrôle mis à jour et aux contraintes d'affichage.