Onderzoekers van antivirusbedrijf Avast hebben Windows-malware ontdekt die besmette machines bruteforce-aanvallen op WordPress-sites laat uitvoeren. De Clipsa-malware doet echter veel meer op geïnfecteerde computers. Zo wordt er een cryptominer geïnstalleerd die de machine allerlei cryptovaluta laat delven.

Tevens wijzigt de malware adressen van bitcoin- en ethereum-wallets in het clipboard. Gebruikers van cryptovaluta die een betaling willen doen of geld naar een andere wallet willen overmaken kopiëren hiervoor vaak het walletadres van de begunstigde en plakken dat vervolgens in een veld op de transactiepagina. Op dat moment bevindt het adres zich in het clipboard van de computer of telefoon. Clipsa verandert het gekopieerde adres in dat van de aanvaller.

Verder zoekt de malware naar WordPress-sites en probeert hier via bruteforce-aanvallen op in te loggen. In het geval de poging succesvol is worden de betreffende inloggegevens naar de aanvallers gestuurd. Vanwege het delven van cryptovaluta en het zoeken naar WordPress-sites kunnen besmette computers trager reageren.

Clipsa verspreidt zich via codecs voor mediaspelers, met de naam Ultra XVid Codec Pack.exe en Installer_x86-x64_89006.exe. Gebruikers die de besmette codecs downloaden raken zo met de malware geïnfecteerd. Sinds augustus vorig jaar heeft Avast de malware bij 253.000 gebruikers geblokkeerd.