Microsoft waarschuwt voor malware die usb-sticks infecteert en het heeft voorzien op de cryptovaluta van slachtoffers. Volgens het techbedrijf is de malware een combinatie van een computerworm en clipper-malware. Gebruikers van cryptovaluta die een betaling willen doen of geld naar een andere wallet willen overmaken kopiëren hiervoor vaak het walletadres van de begunstigde en plakken dat vervolgens in een veld op de transactiepagina.

Op dat moment bevindt het adres zich in het clipboard van de computer of telefoon. De malware kan op dat moment het gekopieerde adres aanpassen naar een adres van de aanvaller. Zodra het slachtoffer het adres op de transactiepagina plakt, en niet goed oplet, maakt hij zo geld over naar de wallet van de aanvaller in plaats van de oorspronkelijk bedoelde begunstigde. Dit wordt ook wel clipper-malware genoemd.

De malware waarvoor Microsoft waarschuwt steelt ook seed phrases om toegang tot cryptowallets te krijgen en private keys voor Ethereum en Bitcoin WIF, waarmee er ook controle over de wallet kan worden verkregen. Daarnaast maakt de malware allerlei screenshots. Volgens Microsoft helpt dit de aanvallers om meer informatie over de cryptowallet en het vermogen van het slachtoffer te achterhalen.

Een andere eigenschap van de malware is dat die aangesloten usb-sticks infecteert. De initiële besmettingen die Microsoft ontdekte begonnen met het openen van malafide lnk-bestanden op besmette usb-sticks. Zodra het systeem is geïnfecteerd zoekt de malware op aangesloten usb-sticks die nog niet zijn besmet naar documentbestanden zoals .doc, .xlsx en .pdf. Vervolgens verbergt de malware de originele bestanden en creëert malafide lnk-bestanden die dezelfde namen hebben als de verborgen documenten. Windows laat bestandsextensies standaard niet zien.

Wanneer het .lnk-bestand op een schoon systeem wordt geopend raakt ook die computer besmet. Microsoft adviseert organisaties onder andere het blokkeren van .lnk-bestanden op usb-sticks door middel van een Group Policy Object (GPO). Ook wordt aangeraden om AutoRun/AutoPlay voor alle verwijderbare media uit te schakelen.