送金先アドレスは「先頭と末尾だけ」で確かめない：クリッパー型マルウェア Efimer
クリップボードの暗号資産アドレスを攻撃者のものに置き換えるマルウェアのうち、Efimer は先頭か末尾の 1〜3 文字が元と同じアドレスを選んで差し替える。目立つ端だけ見る確認では気づけない。
いつ使うか
- 暗号資産やそれに類する長い ID をコピー＆ペーストで送るとき
- 社内の経理・財務で、口座番号やアドレスを貼り付けて入力する手順を見直すとき
手口の要点
- AnimateClipper（別名 ZigClipper）はアドレスの形式から通貨を判別し、同じ形式の攻撃者アドレスへ置き換える。偽インストーラーや ClickFix（PowerShell を貼らせる偽の確認画面）で配られ、情報窃取型と一緒に入ることもある。
- Efimer はクリップボード上のシードフレーズも拾って送り、スクリーンショットも撮る。配布はメールや、改ざんされた WordPress サイトの映画トレント。
- 解析妨害（解析環境での終了、Pyarmor、XOR、JavaScript の難読化）と 1 時間ごとの再ビルドで、検体のハッシュでは追いにくい。
対策
- 貼り付けたあと、アドレス全体を元と照合する。中ほどの文字も含めて区切って読む、QR やアドレス帳の登録済み宛先を使う、少額のテスト送金を先にする。
- 貼り付けたアドレスが意図と違ったら、その端末をクリッパー感染として調べる（送金はきれいな端末から）。
- シードフレーズをクリップボードに載せない、画面に出したままにしない。
- ソフトは正規の入手元から入れ、実行前に確認する。「本人確認のため PowerShell に貼り付けて」と言うサイトには従わない。