Jak CryptoBandits krade kryptoměny

Únos schránky probíhá téměř v reálném čase

Malware se spouští jako skriptový payload prostřednictvím Windows Script Host a objektu ActiveXObject . Schránku kontroluje přibližně každých 500 milisekund. Jakmile rozpozná řetězec odpovídající adrese kryptopeněženky, nahradí jej adresou ovládanou útočníkem .

Cílem mohou být adresy pro Bitcoin, Ethereum, Tron, Monero a další kryptoměny. Uživatel pak může při vložení adresy do kryptoburzy nebo peněženky odeslat prostředky jinam, aniž by si změny všiml .

Podle Microsoftu malware zároveň vyhledává seed fráze a privátní klíče podle vzorů souvisejících s kryptopeněženkami . Seed fráze je posloupnost slov sloužící k obnovení peněženky; její odcizení může útočníkovi umožnit získat přístup k prostředkům.

Tor skrývá komunikaci s řídicím serverem

Součástí malwaru je přibalený klient Tor. Ten se spouští pod změněným názvem ugate.exe v skrytém okně. Malware přibližně 60 sekund čeká, než se Tor připojí, vytvoří jedinečný identifikátor napadeného zařízení a zaregistruje jej u skrytého řídicího serveru .

Komunikace s infrastrukturou útočníků prochází přes místní SOCKS5 proxy na adrese localhost:9050 . Tento postup ztěžuje obráncům hledání běžné IP adresy řídicího serveru a může obejít tradiční kontrolu síťové komunikace založenou na známých adresách.

Použití Toru samo o sobě neznamená, že je zařízení napadené. V tomto případě je však kombinace spuštění skriptu, skrytého Tor procesu a komunikace přes port 9050 důležitým behaviorálním signálem .

Infikované USB může přenést nákazu i do oddělené sítě

První fáze infekce se šíří prostřednictvím škodlivých zástupců s příponou .lnk, které se nacházejí na USB úložištích . Po otevření zástupce se spustí komponenta s chováním počítačového červa. Ta ověří, zda už je zařízení napadené, a pokud ne, stáhne další payload z řídicího serveru přes Tor .

To je významné zejména u takzvaných air-gapped prostředí, jejichž počítače nejsou běžně připojené k internetu ani k okolní síti. Pokud se infikovaný flash disk přenese mezi počítači, může se malware dostat i přes tuto fyzickou bariéru .

Snímky obrazovky a vzdálené spouštění kódu

CryptoBandits podle popisu Microsoftu také odesílá snímky obrazovky prostřednictvím Toru . Řídicí server může navíc v odpovědi vrátit příkaz EVAL, po jehož obdržení malware spustí útočníkem dodaný kód . Napadené zařízení tak může být využito nejen ke krádeži kryptoměn, ale i k dalším operacím.

Co doporučuje Microsoft Defender Experts

Microsoft Defender Experts doporučují zaměřit se především na chování zařízení, nikoli pouze na konkrétní název souboru nebo známý otisk malwaru . Mezi doporučené kroky patří:

• zakázat AutoRun a AutoPlay pro všechna vyměnitelná média ,
• pomocí zásad skupiny zablokovat spouštění souborů .lnk z USB disků ,
• omezit zbytečné používání wscript.exe a cscript.exe ,
• zapnout pravidla Attack Surface Reduction zaměřená na obfuskované skripty a podezřelé podřízené procesy ,
• prověřovat řetězce, v nichž skript spouští síťové nástroje nebo příkazy jako curl, PowerShell či cmd.exe ,
• vyhledávat aktivitu místní SOCKS5 proxy na localhost:9050 ,
• kontrolovat podezřelé chování související se schránkou a pořizováním snímků obrazovky, zejména na zařízeních používaných pro finanční operace .

Pro běžného uživatele je nejjednodušším dodatečným opatřením pečlivá kontrola celé adresy peněženky po jejím vložení. Změna jediného znaku může znamenat, že transakce zamíří k útočníkovi.

CryptoBandits zapadá do širší vlny clipperů

Popsaná kampaň není izolovaným případem. Zprávy z roku 2026 popisují různé varianty malwaru, které zneužívají schránku ke krádežím kryptoměn .

Mezi uváděné příklady patří:

• CountLoader – vícestupňová kampaň využívající JavaScript, PowerShell a shellcode k doručení clipperu ,
• clippery napsané v Rustu – šířené prostřednictvím phishingových stránek, GitHubu, SourceForge a upraveného obsahu na YouTube ,
• clippery napsané v Pythonu – distribuované přes Discord pod názvy Pro.exe a peeek.exe ,
• clippery zaměřené na Linux – například ClipXDaemon, autonomní únosce schránky pro prostředí X11 identifikovaný v únoru 2026 .

Dohromady tyto případy ukazují, že clipper malware se vyvíjí několika směry: od skriptových útoků na Windows přes infrastrukturu skrytou za Torem až po šíření přes USB, sociální platformy a útoky na linuxové pracovní stanice .

Jak CryptoBandits krade kryptoměny

Únos schránky probíhá téměř v reálném čase

Malware se spouští jako skriptový payload prostřednictvím Windows Script Host a objektu ActiveXObject . Schránku kontroluje přibližně každých 500 milisekund. Jakmile rozpozná řetězec odpovídající adrese kryptopeněženky, nahradí jej adresou ovládanou útočníkem .

Cílem mohou být adresy pro Bitcoin, Ethereum, Tron, Monero a další kryptoměny. Uživatel pak může při vložení adresy do kryptoburzy nebo peněženky odeslat prostředky jinam, aniž by si změny všiml .

Podle Microsoftu malware zároveň vyhledává seed fráze a privátní klíče podle vzorů souvisejících s kryptopeněženkami . Seed fráze je posloupnost slov sloužící k obnovení peněženky; její odcizení může útočníkovi umožnit získat přístup k prostředkům.

Tor skrývá komunikaci s řídicím serverem

Součástí malwaru je přibalený klient Tor. Ten se spouští pod změněným názvem ugate.exe v skrytém okně. Malware přibližně 60 sekund čeká, než se Tor připojí, vytvoří jedinečný identifikátor napadeného zařízení a zaregistruje jej u skrytého řídicího serveru .

Komunikace s infrastrukturou útočníků prochází přes místní SOCKS5 proxy na adrese localhost:9050 . Tento postup ztěžuje obráncům hledání běžné IP adresy řídicího serveru a může obejít tradiční kontrolu síťové komunikace založenou na známých adresách.

Použití Toru samo o sobě neznamená, že je zařízení napadené. V tomto případě je však kombinace spuštění skriptu, skrytého Tor procesu a komunikace přes port 9050 důležitým behaviorálním signálem .

Infikované USB může přenést nákazu i do oddělené sítě

První fáze infekce se šíří prostřednictvím škodlivých zástupců s příponou .lnk, které se nacházejí na USB úložištích . Po otevření zástupce se spustí komponenta s chováním počítačového červa. Ta ověří, zda už je zařízení napadené, a pokud ne, stáhne další payload z řídicího serveru přes Tor .

To je významné zejména u takzvaných air-gapped prostředí, jejichž počítače nejsou běžně připojené k internetu ani k okolní síti. Pokud se infikovaný flash disk přenese mezi počítači, může se malware dostat i přes tuto fyzickou bariéru .

Snímky obrazovky a vzdálené spouštění kódu

CryptoBandits podle popisu Microsoftu také odesílá snímky obrazovky prostřednictvím Toru . Řídicí server může navíc v odpovědi vrátit příkaz EVAL, po jehož obdržení malware spustí útočníkem dodaný kód . Napadené zařízení tak může být využito nejen ke krádeži kryptoměn, ale i k dalším operacím.

Co doporučuje Microsoft Defender Experts

Microsoft Defender Experts doporučují zaměřit se především na chování zařízení, nikoli pouze na konkrétní název souboru nebo známý otisk malwaru . Mezi doporučené kroky patří:

• zakázat AutoRun a AutoPlay pro všechna vyměnitelná média ,
• pomocí zásad skupiny zablokovat spouštění souborů .lnk z USB disků ,
• omezit zbytečné používání wscript.exe a cscript.exe ,
• zapnout pravidla Attack Surface Reduction zaměřená na obfuskované skripty a podezřelé podřízené procesy ,
• prověřovat řetězce, v nichž skript spouští síťové nástroje nebo příkazy jako curl, PowerShell či cmd.exe ,
• vyhledávat aktivitu místní SOCKS5 proxy na localhost:9050 ,
• kontrolovat podezřelé chování související se schránkou a pořizováním snímků obrazovky, zejména na zařízeních používaných pro finanční operace .

Pro běžného uživatele je nejjednodušším dodatečným opatřením pečlivá kontrola celé adresy peněženky po jejím vložení. Změna jediného znaku může znamenat, že transakce zamíří k útočníkovi.

CryptoBandits zapadá do širší vlny clipperů

Popsaná kampaň není izolovaným případem. Zprávy z roku 2026 popisují různé varianty malwaru, které zneužívají schránku ke krádežím kryptoměn .

Mezi uváděné příklady patří:

• CountLoader – vícestupňová kampaň využívající JavaScript, PowerShell a shellcode k doručení clipperu ,
• clippery napsané v Rustu – šířené prostřednictvím phishingových stránek, GitHubu, SourceForge a upraveného obsahu na YouTube ,
• clippery napsané v Pythonu – distribuované přes Discord pod názvy Pro.exe a peeek.exe ,
• clippery zaměřené na Linux – například ClipXDaemon, autonomní únosce schránky pro prostředí X11 identifikovaný v únoru 2026 .

Dohromady tyto případy ukazují, že clipper malware se vyvíjí několika směry: od skriptových útoků na Windows přes infrastrukturu skrytou za Torem až po šíření přes USB, sociální platformy a útoky na linuxové pracovní stanice .