CryptoBandits: Malware ve Windows potají mění adresy kryptopeněženek a šíří se přes USB

Když uživatel kopíruje adresu kryptopeněženky, obvykle ji před odesláním nekontroluje znak po znaku. Právě na tuto rutinu cílí malware typu clipper. Microsoft 17. června 2026 popsal kampaň CryptoBandits, která podle jeho zjištění zasahuje zařízení s Windows nejméně od února 2026 .

Nejde jen o prosté přepsání adresy ve schránce. Popsaná varianta kombinuje krádež údajů k peněženkám, komunikaci přes síť Tor a šíření pomocí infikovaných USB disků. Díky tomu může představovat riziko i pro počítače v prostředích oddělených od běžné sítě .

Jak CryptoBandits krade kryptoměny

Únos schránky probíhá téměř v reálném čase

Malware se spouští jako skriptový payload prostřednictvím Windows Script Host a objektu ActiveXObject . Schránku kontroluje přibližně každých 500 milisekund. Jakmile rozpozná řetězec odpovídající adrese kryptopeněženky, nahradí jej adresou ovládanou útočníkem .

Cílem mohou být adresy pro Bitcoin, Ethereum, Tron, Monero a další kryptoměny. Uživatel pak může při vložení adresy do kryptoburzy nebo peněženky odeslat prostředky jinam, aniž by si změny všiml .

Podle Microsoftu malware zároveň vyhledává seed fráze a privátní klíče podle vzorů souvisejících s kryptopeněženkami . Seed fráze je posloupnost slov sloužící k obnovení peněženky; její odcizení může útočníkovi umožnit získat přístup k prostředkům.

Tor skrývá komunikaci s řídicím serverem

Součástí malwaru je přibalený klient Tor. Ten se spouští pod změněným názvem ugate.exe v skrytém okně. Malware přibližně 60 sekund čeká, než se Tor připojí, vytvoří jedinečný identifikátor napadeného zařízení a zaregistruje jej u skrytého řídicího serveru .

Komunikace s infrastrukturou útočníků prochází přes místní SOCKS5 proxy na adrese localhost:9050 . Tento postup ztěžuje obráncům hledání běžné IP adresy řídicího serveru a může obejít tradiční kontrolu síťové komunikace založenou na známých adresách.

Použití Toru samo o sobě neznamená, že je zařízení napadené. V tomto případě je však kombinace spuštění skriptu, skrytého Tor procesu a komunikace přes port 9050 důležitým behaviorálním signálem .

Infikované USB může přenést nákazu i do oddělené sítě

První fáze infekce se šíří prostřednictvím škodlivých zástupců s příponou .lnk, které se nacházejí na USB úložištích . Po otevření zástupce se spustí komponenta s chováním počítačového červa. Ta ověří, zda už je zařízení napadené, a pokud ne, stáhne další payload z řídicího serveru přes Tor .

To je významné zejména u takzvaných air-gapped prostředí, jejichž počítače nejsou běžně připojené k internetu ani k okolní síti. Pokud se infikovaný flash disk přenese mezi počítači, může se malware dostat i přes tuto fyzickou bariéru .

Snímky obrazovky a vzdálené spouštění kódu

CryptoBandits podle popisu Microsoftu také odesílá snímky obrazovky prostřednictvím Toru . Řídicí server může navíc v odpovědi vrátit příkaz EVAL, po jehož obdržení malware spustí útočníkem dodaný kód . Napadené zařízení tak může být využito nejen ke krádeži kryptoměn, ale i k dalším operacím.

Co doporučuje Microsoft Defender Experts

Microsoft Defender Experts doporučují zaměřit se především na chování zařízení, nikoli pouze na konkrétní název souboru nebo známý otisk malwaru . Mezi doporučené kroky patří:

• zakázat AutoRun a AutoPlay pro všechna vyměnitelná média ,
• pomocí zásad skupiny zablokovat spouštění souborů .lnk z USB disků ,
• omezit zbytečné používání wscript.exe a cscript.exe ,
• zapnout pravidla Attack Surface Reduction zaměřená na obfuskované skripty a podezřelé podřízené procesy ,
• prověřovat řetězce, v nichž skript spouští síťové nástroje nebo příkazy jako curl, PowerShell či cmd.exe ,
• vyhledávat aktivitu místní SOCKS5 proxy na localhost:9050 ,
• kontrolovat podezřelé chování související se schránkou a pořizováním snímků obrazovky, zejména na zařízeních používaných pro finanční operace .

Pro běžného uživatele je nejjednodušším dodatečným opatřením pečlivá kontrola celé adresy peněženky po jejím vložení. Změna jediného znaku může znamenat, že transakce zamíří k útočníkovi.

CryptoBandits zapadá do širší vlny clipperů

Popsaná kampaň není izolovaným případem. Zprávy z roku 2026 popisují různé varianty malwaru, které zneužívají schránku ke krádežím kryptoměn .

Mezi uváděné příklady patří:

• CountLoader – vícestupňová kampaň využívající JavaScript, PowerShell a shellcode k doručení clipperu ,
• clippery napsané v Rustu – šířené prostřednictvím phishingových stránek, GitHubu, SourceForge a upraveného obsahu na YouTube ,
• clippery napsané v Pythonu – distribuované přes Discord pod názvy Pro.exe a peeek.exe ,
• clippery zaměřené na Linux – například ClipXDaemon, autonomní únosce schránky pro prostředí X11 identifikovaný v únoru 2026 .

Dohromady tyto případy ukazují, že clipper malware se vyvíjí několika směry: od skriptových útoků na Windows přes infrastrukturu skrytou za Torem až po šíření přes USB, sociální platformy a útoky na linuxové pracovní stanice .