Microsoft выявила кампанию вредоносного ПО, ориентированную на криптовалюты, которая может красть seed-фразы, заменять адреса кошельков и поддерживать удаленный доступ к зараженным устройствам через сеть Tor.
В отчете об угрозах, опубликованном Microsoft, исследователи безопасности заявили, что вредоносная программа, получившая название «Crypto Clipper», действует по крайней мере с февраля 2026 года.
Кампания объединяет кражу буфера обмена, захват скриншотов, подмену адресов кошельков и возможности выполнения удаленного кода, предоставляя злоумышленникам несколько способов атаки на пользователей криптовалют.
Microsoft Defender обнаруживает вредоносное ПО как Trojan/CryptoBandits.A и связанные варианты.
Вредоносное ПО нацелено на seed-фразы и учетные данные кошелька
Согласно Microsoft, Crypto Clipper постоянно отслеживает буфер обмена жертвы на предмет данных о криптовалюте высокой ценности. Эти данные включают seed-фразы из 12 и 24 слов, приватные ключи ethereum и учетные данные кошелька bitcoin.
После обнаружения информация экспортируется через инфраструктуру управления на базе Tor. Вредоносная программа также делает скриншоты устройства жертвы, предоставляя злоумышленникам дополнительную информацию о кошельках и балансах.
Исследователи обнаружили, что вредоносное программное обеспечение может заменять скопированные адреса криптовалют на альтернативные адреса, контролируемые злоумышленником. Функция подмены адресов нацелена на несколько блокчейн-сетей, включая Bitcoin, Tron и Monero.
Microsoft сообщила, что вредоносная программа проверяет скопированные адреса кошельков и заменяет их на похожие адреса, предназначенные для снижения вероятности обнаружения при переводах.
Флеш-накопители, используемые для червеподобного распространения
Кампания также выделяется своим методом распространения.
Microsoft обнаружила, что вредоносное ПО распространяется через вредоносные ярлыки Windows (.lnk), распространяемые через USB-накопители. Вредоносные файлы скрывают легитимные документы и заменяют их ярлыками с теми же именами.
Когда пользователи открывают документ, который выглядит как обычный файл, в фоновом режиме запускается вредоносная программа и устанавливает дополнительные нагрузки.
Исследователи заявили, что вредоносная программа развертывает портативный клиент Tor, направляет коммуникации через скрытые сервисы и может получать инструкции от злоумышленников, включая команды, позволяющие выполнять произвольный код на скомпрометированных системах.
Microsoft предупредила, что сочетание коммуникаций на базе Tor, кражи буфера обмена, сбора скриншотов и удаленного управления предоставляет злоумышленникам как возможности немедленного монетизации, так и постоянный контроль над зараженными устройствами.
Финальное резюме
- Microsoft выявила кампанию вредоносного ПО, нацеленную на криптовалюты, которая крадет seed-фразы, делает скриншоты и заменяет адреса кошельков.
- Вредоносная программа распространяется через вредоносные ярлыки USB и использует инфраструктуру Tor для поддержания связи с злоумышленниками.