Pesquisadores da CloudSEK identificaram uma operação que distribui um hijacker de área de transferência via Discord, voltado a gamers e streamers que manipulam endereços de carteira durante transmissões.
Resumo da campanha e vetores de distribuição
De acordo com o relatório citado na cobertura técnica, o ator rastreado como "RedLineCyber" constrói confiança em comunidades do Discord vinculadas a jogos, apostas e streaming de criptomoedas. Os operadores se apresentam como desenvolvedores de ferramentas e compartilham arquivos privados — com nomes como Pro.exe ou peeek.exe — que supostamente ajudam a gerir ou proteger endereços durante lives.
Mecanismo de ação do malware
A amostra analisada é um executável Python empacotado com PyInstaller que, ao ser executado, cria uma pasta denominada CryptoClipboardGuard em %APPDATA% e se registra na chave Run do usuário corrente para persistência. O programa entra em um loop que checa a área de transferência aproximadamente três vezes por segundo. Sempre que o conteúdo muda, ele o compara com expressões regulares (codificadas em base64 no binário) que identificam formatos de endereços para várias criptomoedas.
Troca de endereço e registro de atividade
Se detectar um endereço válido, o malware substitui imediatamente o conteúdo da área de transferência por uma carteira controlada pelos atacantes e grava a substituição em um arquivo activity.log dentro de %APPDATA%\CryptoClipboardGuard. Como a alteração ocorre entre o comando de copiar e o de colar, muitas vítimas só percebem o furto após a confirmação irreversível da transação na blockchain.
Alvos, alcance e evidências on‑chain
Segundo a CloudSEK, as transações ligadas a carteiras inseridas pelo malware já evidenciam fundos desviados em diversas cadeias, incluindo Bitcoin, Ethereum, Solana, Dogecoin, Litecoin e Tron. Os pesquisadores ressaltam que o modus operandi explora o ponto mais frágil da cadeia: a confiança do usuário no conteúdo da área de transferência, especialmente em operações rápidas de streaming ou negociações.
Persistência e evasão
A execução sem janelas visíveis, a persistência via Run key e o empacotamento com runtime Python permitem que a amostra opere silenciosamente em máquinas que não tenham Python instalado. Além disso, o malware evita tráfego C2 óbvio e usa poucos recursos, aumentando a probabilidade de permanecer ativo por longos períodos aguardando transferências de alto valor.
O que falta nas informações públicas
As publicações analisadas não apresentam contagem agregada de vítimas, valores totais desviados ou vetores iniciais de distribuição em escala (por exemplo, se houve phishing em massa fora do Discord). Também não há indicação de vítimas brasileiras ou dados que permitam correlacionar incidentes a exchanges ou serviços específicos. Esses pontos permanecem sem detalhamento público até o momento.
Medidas práticas para defesa
- Evitar execução de binários recebidos por canais informais sem verificação; validar assinaturas e origem.
- Monitorar autoruns por usuários e alertar para criação de pastas e arquivos de logs suspeitos em %APPDATA% que indiquem CryptoClipboardGuard ou activity.log.
- Educar streamers/operadores de carteiras sobre a verificação manual de endereços antes de colar e, quando possível, usar ferramentas que validem endereços via autofill seguro em vez do clipboard comum.
- Examinar endpoints com EDR focado em comportamento de leitura/ escrita em clipboard e persistência via Run key.
Conclusão
A campanha demonstra como técnicas simples de manipulação da interface humana (clipboard swapping) continuam eficazes diante de controles técnicos avançados. A investigação da CloudSEK fornece indicadores e descrição comportamental claros da amostra (Pro.exe/peeek.exe; CryptoClipboardGuard; atividade de logging; checagem ~3x/s), mas escopo e impacto agregado permanecem sem dados públicos. Equipes de segurança que atendem comunidades de criadores e traders devem priorizar conscientização e controles de endpoint que detectem esse padrão de persistência e substituição de clipboard.