Worm USB che rubano crypto: attenzione ai file LNK e agli indirizzi wallet modificati

Una vecchia minaccia informatica torna con un obiettivo molto moderno: rubare criptovalute. Parliamo dei worm USB, cioè malware capaci di diffondersi attraverso chiavette, hard disk esterni e altri dispositivi rimovibili. La tecnica non è nuova, ma oggi viene riutilizzata in modo più mirato contro chi gestisce Bitcoin, Ethereum, stablecoin o altri asset digitali.

Secondo Microsoft Threat Intelligence, è stata osservata una campagna di crypto clipper che utilizza anche meccanismi di propagazione simili a un worm, sfruttando supporti rimovibili, collegamenti e tecniche di persistenza. Il tema è stato ripreso anche da siti specializzati come Tom’s Hardware e BleepingComputer, perché mostra bene come una minaccia apparentemente “vecchia”, come la chiavetta USB infetta, possa diventare molto attuale quando viene collegata al mondo delle criptovalute.

Fonte principale: Microsoft Security Blog [https://www.microsoft.com/en-us/security/blog/2026/06/17/crypto-clipper-uses-tor-worm-like-propagation-for-persistence-control/]

Il meccanismo è abbastanza subdolo. La vittima collega una chiavetta USB al computer e vede file apparentemente normali: documenti, cartelle, immagini, PDF o file con nomi familiari. In realtà alcuni elementi possono essere file LNK, cioè collegamenti di Windows. Un file LNK può sembrare una scorciatoia innocua, ma può anche avviare comandi nascosti o richiamare componenti malevoli.

Il problema è che molte persone non controllano le estensioni dei file. Vedono un’icona simile a quella di un documento e aprono senza pensarci troppo. È proprio lì che il malware può attivarsi, installarsi nel sistema e iniziare a lavorare in silenzio.

La parte più pericolosa è quella del crypto clipper. Questo tipo di malware controlla ciò che viene copiato negli appunti del computer. Quando riconosce un indirizzo di wallet crypto, può sostituirlo con un indirizzo diverso, controllato dal truffatore. L’utente pensa di aver copiato l’indirizzo corretto, lo incolla nel wallet o nell’exchange, conferma la transazione e solo dopo si accorge che i fondi sono finiti altrove.

Il danno può essere enorme, perché le transazioni in criptovalute, una volta confermate, sono generalmente irreversibili. Se invii fondi al wallet sbagliato, recuperarli può essere estremamente difficile, quando non impossibile.

Il punto fondamentale è questo: non basta sapere usare un wallet, non basta avere dimestichezza con le crypto e non basta copiare e incollare un indirizzo. Bisogna controllare sempre dove si sta inviando il denaro digitale. Gli indirizzi dei wallet sono lunghi, pieni di caratteri e difficili da leggere, ma proprio per questo diventano un bersaglio ideale. Se non li ricontrolli, stai delegando tutto alla fiducia cieca nel copia e incolla.

I segnali d’allarme da considerare sono questi:

  • chiavetta USB sconosciuta, trovata in giro o ricevuta da persone non affidabili
  • file che sembrano documenti ma sono collegamenti
  • estensione .lnk quando ti aspettavi un PDF, un’immagine o un file Word
  • richiesta di disattivare antivirus o protezioni
  • indirizzo wallet incollato diverso da quello copiato
  • computer che si comporta in modo strano dopo aver aperto file da USB
  • antivirus che segnala elementi sospetti su supporti rimovibili

La prima difesa è semplice: non usare chiavette USB sconosciute. Sembra banale, ma è ancora una delle regole più sottovalutate. Una chiavetta lasciata su una scrivania, trovata in un parcheggio, ricevuta da una persona poco affidabile o usata su più computer può diventare un veicolo di infezione.

La seconda difesa è mostrare sempre le estensioni dei file su Windows. Se un file si chiama “documento.pdf.lnk”, non è un PDF: è un collegamento. E un collegamento può fare molto più di quanto sembri.

La terza difesa riguarda direttamente le criptovalute: prima di confermare una transazione, controlla sempre l’indirizzo del wallet nella schermata finale. Non guardare solo i primi caratteri. Controlla l’inizio, la parte centrale e la fine. Per importi importanti, meglio fare prima una transazione di prova con una cifra minima.

Per proteggerti meglio:

  • non usare chiavette USB sconosciute
  • non aprire file collegamento se ti aspettavi un documento
  • mostra sempre le estensioni dei file su Windows
  • mantieni aggiornati sistema operativo e antivirus
  • evita software pirata, crack e file compressi sospetti
  • controlla sempre il wallet prima di inviare crypto
  • per importi importanti, fai una transazione di prova
  • non fidarti solo del copia e incolla

Se pensi di aver aperto un file sospetto da una chiavetta USB, non fare altre operazioni delicate da quel computer. Scollegalo da internet, fai una scansione completa, cambia le password principali da un dispositivo sicuro e controlla eventuali movimenti sui wallet. Se gestisci somme importanti, valuta anche una reinstallazione pulita del sistema o l’aiuto di un tecnico.

Il copia e incolla è comodo, ma quando si parla di criptovalute non basta. Un malware può trasformare un gesto automatico in una perdita reale. Prima di inviare crypto, controlla il wallet. Sempre.