Microsoft warnt vor CryptoBandits.A, einem Tor-basierten Windows-Clipper, der Wallet-Daten stiehlt und Kryptotransfers kapert.
Microsoft hat vor einem Windows-basierten gewarntKryptoClipper, der darauf ausgelegt ist, Wallet-Daten zu stehlen und Kryptotransfers zu manipulieren.
Laut Microsoft Threat Intelligence und Microsoft Defender Experts sind Benutzer seit Februar 2026 von der Malware betroffen.
Die Kampagne nutzt bösartige .lnk-Verknüpfungen und USB-Laufwerke, um sich auf kompromittierten Windows-Geräten zu verbreiten.
Microsoft Defender Antivirus erkennt die Bedrohung als Trojan:Win32/CryptoBandits.A, während Defender für Endpoint entsprechende Aktivitäten markiert.
Malware nutzt Tor, um Befehlsserver zu verbergen
Laut Microsoft wird die Malware über Windows Script Host und ActiveX-basierte Befehle gestartet, nachdem ein Benutzer eine schädliche Verknüpfung geöffnet hat.
Das Skript startet dann eine umbenannte Tor-Datei namens ugate.exe in einem versteckten Fenster. Nachdem Tor geladen wurde, kontaktiert die Malware versteckte Befehlsserver über einen lokalen Proxy.
Diese Methode vermeidet die Verwendung einer exponierten IP-basierten Befehlsinfrastruktur, was die Verfolgung für Verteidiger erschwert.
Die Malware leitet den Datenverkehr über localhost:9050 weiter, was häufig mit der Tor SOCKS5-Proxy-Aktivität verknüpft ist. Microsoft bezeichnete dieses Verhalten als starkes Warnsignal für Sicherheitsteams.
Microsoft warnt vor Tor-basiertem Crypto Clipper, der auf Wallet-Daten abzielt
Experten von Microsoft Threat Intelligence und Microsoft Defender sagten, sie hätten einen Windows-basierten Krypto-Clipper identifiziert, der Benutzer seit Februar 2026 befällt. Die Malware verbreitet sich über bösartige .lnk-Verknüpfungen und…pic.twitter.com/tDZ6CNg322
— Wu Blockchain (@WuBlockchain)19. Juni 2026
Der Clipper erstellt außerdem eine Opfer-ID, bevor er das infizierte Gerät bei seinem Befehlsserver registriert.
Über diese Verbindung kann der Angreifer Anweisungen senden und gestohlene Daten empfangen. Dadurch fungiert das Tool sowohl als Krypto-Stealer als auch als kleine Hintertür für den Fernzugriff.
Clipper zielt auf Wallet-Adressen und Schlüssel ab
Die Malware überwacht die Aktivitäten in der Zwischenablage mit hoher Geschwindigkeit, um sie zu findenKrypto-Wallet-Adressenund andere wertvolle Daten.
Wenn ein Benutzer eine Wallet-Adresse kopiert, kann der Clipper sie durch eine vom Angreifer kontrollierte Adresse ersetzen. Dadurch kann eine Übertragung umgeleitet werden, bevor der Benutzer die Änderung bemerkt.
Laut Microsoft kann die Malware auch Startphrasen, private Schlüssel und andere Wallet-bezogene Informationen stehlen.
Diese Details können Angreifern Zugriff auf Gelder verschaffen, die in betroffenen Krypto-Wallets gespeichert sind. Die Malware kann auch Screenshots erstellen und diese an ihren Befehlsserver senden.
Die Bedrohung umfasst eine Anti-Analyse-Prüfung, die nach dem Task-Manager auf dem infizierten System sucht.
Wenn der Task-Manager erkannt wird, stoppt die Ausführung des Skripts möglicherweise, um eine Überprüfung zu vermeiden. Diese Funktion kann die manuelle Untersuchung bei frühen Kontrollen erschweren.
Lesen Sie auch:
Hacker zielen heimlich mit gefährlicher TrapDoor-Malware auf Krypto-Entwickler ab
USB-Verbreitung erhöht das Unternehmensrisiko
Microsoft sagte, die Kampagne umfasst aWurmKomponente, die die Verbreitung der Malware über kompromittierte Geräte unterstützt.
Der Wurm erstellt bösartige Verknüpfungen, die legitime Dateien imitieren, die auf dem System gefunden werden. Es können auch USB-Laufwerke verwendet werden, um zwischen Maschinen zu wechseln.
Die Malware fügt geplante Aufgaben hinzu, um die Ausführung und Persistenz nach der Infektion aufrechtzuerhalten.
Es liefert auch dateibasierte Nutzlasten und versucht, diese vom Defender-Scan auszuschließen. Diese Schritte tragen dazu bei, dass die Malware nach einem Geräteneustart aktiv bleibt.
Für Verteidiger verwies Microsoft auf verhaltensbasierte Signale als klarsten Erkennungspfad.
Dazu gehören Skriptinterpreter, die ungewöhnliche untergeordnete Prozesse erzeugen undPowerShellBefehle, die mit der Bildschirmaufnahme verknüpft sind.
Die Inspektion der Zwischenablage, das Ersetzen von Kryptoadressen, die Curl-basierte Exfiltration und die Verwendung von Tor-Proxys sind ebenfalls wichtige Anzeichen.
Die Warnung kommt, da Krypto-Nutzer bei Überweisungen weiterhin auf kopierte Wallet-Adressen angewiesen sind.
Microsoft hat auf Endpunktverhalten, Wechseldatenträger und verdächtige Verknüpfungsaktivitäten aufmerksam gemacht.
Die Kampagne zeigt, wie Wallet-Transfers durch gängige Windows-Funktionen und Benutzeraktionen gekapert werden können.
Quelle: Live Bitcoin News
Schreibe einen Kommentar