一、木马概述
360安全中心近期监控到一类虚拟钱银类木马十分活泼，该木马不断监控用户的剪贴板内容，判别是否为比特币、以太坊等虚拟钱银地址，然后在用户买卖的时分将方针地址修改成自己的地址，悄然施行偷盗，咱们将其命名为“剪贴板鬼魂”。该木马经过感染性病毒，木马下载器，垃圾邮件在全球规模传达，国内也有很多用户受到影响。
二、木马剖析
咱们以样本md5：f73731731b6503dc326bd9222047f18b为例做了剖析。
木马进口函数处为循环读取剪贴板数据

图1
读取剪贴板函数为：

图2
判别是否为以太坊地址（ETH），假如是就替换掉剪贴板里边地址
替换函数为:

图3
替换地址为
0x004D3416DA40338fAf9E772388A93fAF5059bFd5
该地址总计有46笔买卖

图4
最近几回为

图5
假如不是以太坊地址（ETH），则检测是否为比特币（ *** C）类型的地址（长度在25和40之间而且以1和3最初，满意Base58格局）

图6
其中有两个比特币地址
1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1
19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL

图7
1Fo最初的地址之一笔买卖发生在6月9日，现在有5比买卖，现在持有0.089比特币，累计获利超越3000元人民币。该地址现在依然活泼，最近一次买卖发生在6月12日，有0.069比特币入账。

图8
此类木马，咱们在曩昔一个月的阻拦量超越了5万笔，协助用户挽回损失超越4千万（依据木马均匀收益预算）。
三、安全提示
近期各类盗取用户虚拟钱银的木马十分活泼，让人防不胜防。留意确保安全软件的常开以进行防护一旦受诱导而不小心中招，赶快运用360安全卫士查杀铲除木马
此外，360安全卫士现已专门推出了剪贴板防护功用，可以对木马替换剪贴板中虚拟钱银地址的行为进行提示。该功用在设置中心的使用防护中

图9

图10

图11
360安全卫士将会实时阻拦各类木马的进犯，为用户计算机安全保驾护航。
一键敞开地址为：
http://down.360safe.com/inst.exe