Sådan fungerer CryptoBandits-kampagnen

• Klipbordet overvåges løbende: Malwaren leveres som et scriptbaseret payload via WScript og ActiveXObject . Den kontrollerer klipbordet cirka hvert 500. millisekund og erstatter kopierede wallet-adresser for blandt andet Bitcoin, Ethereum, Tron og Monero med angriberens adresser . Den leder også efter seed phrases og private nøgler ved hjælp af mønstre, der forbindes med kryptowallets .

• Tor skjuler kommunikationen: Malwaren starter en omdøbt Tor-binærfil, ugate.exe, i et skjult vindue. Den venter omkring 60 sekunder på, at Tor etablerer forbindelsen, genererer derefter et unikt offer-GUID og registrerer den inficerede enhed hos en kommando- og kontrolserver på en hidden service . Kommunikationen går via den lokale Tor SOCKS5-proxy på localhost:9050, hvilket kan gøre den sværere at opdage med traditionel overvågning af IP-baseret infrastruktur .

• USB-drev kan sprede infektionen: Den første infektion kan ske via ondsindede .lnk-genvejsfiler på USB-lagerenheder . Genvejen starter en ormkomponent, som undersøger, om maskinen allerede er inficeret. Hvis ikke, hentes payloadet fra kommando- og kontrolserveren gennem Tor . Når et inficeret USB-drev flyttes mellem computere, kan mekanismen derfor i visse tilfælde føre infektionen videre til systemer i såkaldte air-gapped miljøer – netværk, der ikke er direkte forbundet med andre netværk .

• Flere funktioner end wallet-kapring: Malwaren kan sende skærmbilleder til angriberne via Tor. Den kan også køre kode, som angriberen leverer undervejs, hvis kommando- og kontrolserveren returnerer et EVAL-svar .

Microsofts råd til opdagelse og beskyttelse

Microsoft Defender Experts anbefaler en kombination af forebyggende indstillinger og adfærdsbaseret jagt efter tegn på infektion :

• Deaktivér AutoRun og AutoPlay for alle flytbare medier .
• Blokér kørsel af .lnk-filer fra flytbare drev via Group Policy .
• Begræns unødvendig brug af wscript.exe og cscript.exe .
• Aktivér Attack Surface Reduction-regler, der fokuserer på obfuskeret scriptkørsel og mistænkelig oprettelse af underprocesser .
• Undersøg forbindelser, hvor scripts starter netværksværktøjer eller kommandofortolkere som curl, PowerShell eller cmd.exe .
• Hold øje med lokal SOCKS5-proxyaktivitet på localhost:9050 .
• Gennemgå klipbordshændelser og skærmoptagelse på enheder, der bruges til følsomme økonomiske arbejdsgange .

For brugere, der sender kryptovaluta, er et enkelt kontrolpunkt fortsat vigtigt: Sammenlign altid den fulde wallet-adresse efter indsætning og før transaktionen godkendes. En clipper kan ændre adressen mellem kopiering og indsætning, uden at det nødvendigvis giver en synlig advarsel.

En del af en bredere bølge af clipper-malware

CryptoBandits-kampagnen indgår i en bredere udvikling med flere rapporter om cryptocurrency-clipper-malware og klipbordskapring i 2026 . Blandt de øvrige beskrevne operationer er:

• CountLoader: En flertrinskampagne, der bruger JavaScript, PowerShell og shellcode til at levere et clipper-payload .
• Rust-baserede klipbordskaprere: Distribueret via phishing-sider, GitHub, SourceForge og manipuleret YouTube-indhold .
• Python-baserede clippere: Spredt via Discord under filnavnene Pro.exe og peeek.exe .
• Linux-fokuserede clippere: Herunder “ClipXDaemon”, en autonom X11-klipbordskaprer, der blev identificeret i februar 2026 .

Samlet peger rapporterne på, at clipper-malware nu optræder i flere former: som scriptbaserede Windows-payloads, med Tor-understøttet infrastruktur, via USB-drev og sociale platforme samt som klipbordskaprere målrettet Linux .

Sådan fungerer CryptoBandits-kampagnen

• Klipbordet overvåges løbende: Malwaren leveres som et scriptbaseret payload via WScript og ActiveXObject . Den kontrollerer klipbordet cirka hvert 500. millisekund og erstatter kopierede wallet-adresser for blandt andet Bitcoin, Ethereum, Tron og Monero med angriberens adresser . Den leder også efter seed phrases og private nøgler ved hjælp af mønstre, der forbindes med kryptowallets .

• Tor skjuler kommunikationen: Malwaren starter en omdøbt Tor-binærfil, ugate.exe, i et skjult vindue. Den venter omkring 60 sekunder på, at Tor etablerer forbindelsen, genererer derefter et unikt offer-GUID og registrerer den inficerede enhed hos en kommando- og kontrolserver på en hidden service . Kommunikationen går via den lokale Tor SOCKS5-proxy på localhost:9050, hvilket kan gøre den sværere at opdage med traditionel overvågning af IP-baseret infrastruktur .

• USB-drev kan sprede infektionen: Den første infektion kan ske via ondsindede .lnk-genvejsfiler på USB-lagerenheder . Genvejen starter en ormkomponent, som undersøger, om maskinen allerede er inficeret. Hvis ikke, hentes payloadet fra kommando- og kontrolserveren gennem Tor . Når et inficeret USB-drev flyttes mellem computere, kan mekanismen derfor i visse tilfælde føre infektionen videre til systemer i såkaldte air-gapped miljøer – netværk, der ikke er direkte forbundet med andre netværk .

• Flere funktioner end wallet-kapring: Malwaren kan sende skærmbilleder til angriberne via Tor. Den kan også køre kode, som angriberen leverer undervejs, hvis kommando- og kontrolserveren returnerer et EVAL-svar .

Microsofts råd til opdagelse og beskyttelse

Microsoft Defender Experts anbefaler en kombination af forebyggende indstillinger og adfærdsbaseret jagt efter tegn på infektion :

• Deaktivér AutoRun og AutoPlay for alle flytbare medier .
• Blokér kørsel af .lnk-filer fra flytbare drev via Group Policy .
• Begræns unødvendig brug af wscript.exe og cscript.exe .
• Aktivér Attack Surface Reduction-regler, der fokuserer på obfuskeret scriptkørsel og mistænkelig oprettelse af underprocesser .
• Undersøg forbindelser, hvor scripts starter netværksværktøjer eller kommandofortolkere som curl, PowerShell eller cmd.exe .
• Hold øje med lokal SOCKS5-proxyaktivitet på localhost:9050 .
• Gennemgå klipbordshændelser og skærmoptagelse på enheder, der bruges til følsomme økonomiske arbejdsgange .

For brugere, der sender kryptovaluta, er et enkelt kontrolpunkt fortsat vigtigt: Sammenlign altid den fulde wallet-adresse efter indsætning og før transaktionen godkendes. En clipper kan ændre adressen mellem kopiering og indsætning, uden at det nødvendigvis giver en synlig advarsel.

En del af en bredere bølge af clipper-malware

CryptoBandits-kampagnen indgår i en bredere udvikling med flere rapporter om cryptocurrency-clipper-malware og klipbordskapring i 2026 . Blandt de øvrige beskrevne operationer er:

• CountLoader: En flertrinskampagne, der bruger JavaScript, PowerShell og shellcode til at levere et clipper-payload .
• Rust-baserede klipbordskaprere: Distribueret via phishing-sider, GitHub, SourceForge og manipuleret YouTube-indhold .
• Python-baserede clippere: Spredt via Discord under filnavnene Pro.exe og peeek.exe .
• Linux-fokuserede clippere: Herunder “ClipXDaemon”, en autonom X11-klipbordskaprer, der blev identificeret i februar 2026 .

Samlet peger rapporterne på, at clipper-malware nu optræder i flere former: som scriptbaserede Windows-payloads, med Tor-understøttet infrastruktur, via USB-drev og sociale platforme samt som klipbordskaprere målrettet Linux .