Die Funktionsweise der CryptoBandits-Malware im Detail

• Clipboard-Hijacking-Mechanismus: Die Malware wird als Skript-basierte Payload über WScript und ActiveXObject ausgeführt . Sie überwacht die Zwischenablage etwa alle 500 Millisekunden und ersetzt kopierte Krypto-Wallet-Adressen (Bitcoin, Ethereum, Tron, Monero u.a.) durch Adressen der Angreifer . Zusätzlich extrahiert sie Seed-Phrasen und private Schlüssel, die bestimmten Wallet-bezogenen Mustern entsprechen .

• Tor-basierte C2-Verschleierung: Die Malware startet eine umbenannte Tor-Binärdatei (ugate.exe) in einem versteckten Fenster. Nach etwa 60 Sekunden Wartezeit, damit Tor booten kann, generiert sie eine GUID für das Opfer und registriert das infizierte Gerät bei einem Command-and-Control-Server, der als versteckter Dienst läuft . Der gesamte C2-Verkehr läuft über den lokalen Tor-SOCKS5-Proxy auf localhost:9050, wodurch die Malware herkömmliche IP-basierte Erkennung umgeht .

• Wurmartige USB-Verbreitung: Die Erstinfektion erfolgt über manipulierte .lnk-Verknüpfungen, die auf USB-Speichergeräten verteilt werden . Diese .lnk-Datei startet eine Wurm-Komponente, die prüft, ob das Zielsystem bereits infiziert ist. Ist dies nicht der Fall, lädt sie die eigentliche Payload vom C2-Server über Tor nach . Dieser Mechanismus ermöglicht es der Malware, sich auch auf air-gapped Systeme auszubreiten, wenn infizierte USB-Sticks zwischen verschiedenen Rechnern verwendet werden .

• Zusätzliche Fähigkeiten: Die Malware kann Screenshots anfertigen und diese über Tor an den Angreifer senden. Wenn der C2-Server eine EVAL-Antwort zurückgibt, kann sie zudem beliebigen Schadcode ausführen, der von den Angreifern bereitgestellt wird .

Schutz- und Erkennungsmaßnahmen von Microsoft Defender Experts

Microsoft Defender Experts empfehlen Unternehmen und Privatanwendern die folgenden Maßnahmen :

• AutoRun/AutoPlay für Wechselmedien deaktivieren .
• Ausführung von .lnk-Dateien von USB-Laufwerken blockieren – über Gruppenrichtlinien (Group Policy) .
• Unnötige Nutzung von wscript.exe und cscript.exe einschränken .
• Attack Surface Reduction (ASR)-Regeln aktivieren – insbesondere für verschleierte Skriptausführung und verdächtiges Kindprozess-Verhalten .
• Skript-zu-Netzwerk-Ketten prüfen – zum Beispiel, wenn curl, PowerShell oder cmd.exe von Skript-Interpretern gestartet werden .
• Aktivität auf localhost:9050 überwachen – ein lokaler SOCKS5-Proxy ist ein starkes Indiz .
• Clipboard- und Screenshot-Verhalten auf Geräten prüfen, die mit sensiblen Finanztransaktionen umgehen .

Der weitere Kontext: Zunehmende Clipper-Malware-Aktivität im Jahr 2026

Die CryptoBandits-Kampagne ist Teil einer breiteren Welle von Clipboard-Hijacking- und Clipper-Malware-Aktivitäten, die im Jahr 2026 beobachtet wurden . Zu den weiteren bekannten Kampagnen gehören:

• CountLoader: Eine mehrstufige Kampagne, die JavaScript, PowerShell und Shellcode einsetzt, um eine Clipper-Payload zu verteilen .
• Rust-basierte Clipboard-Hijacker: Diese werden über Phishing-Seiten, GitHub, SourceForge und manipulierte YouTube-Inhalte verbreitet .
• Python-basierte Clipper: Diese Malware wird über Discord als Pro.exe / peeek.exe verteilt und ist speziell auf das Stehlen von Kryptowährungen ausgelegt .
• Linux-Clipper „ClipXDaemon“: Ein autonomer X11-Clipboard-Hijacker, der im Februar 2026 identifiziert wurde und keine C2-Kommunikation benötigt .

Zusammengenommen zeigen diese Berichte ein breites Spektrum an Clipper-Malware-Aktivitäten – von skriptbasierten Windows-Payloads über Tor-Infrastruktur und USB-Verbreitung bis hin zu sozialen Plattformen und Linux-Umgebungen .

Die Funktionsweise der CryptoBandits-Malware im Detail

• Clipboard-Hijacking-Mechanismus: Die Malware wird als Skript-basierte Payload über WScript und ActiveXObject ausgeführt . Sie überwacht die Zwischenablage etwa alle 500 Millisekunden und ersetzt kopierte Krypto-Wallet-Adressen (Bitcoin, Ethereum, Tron, Monero u.a.) durch Adressen der Angreifer . Zusätzlich extrahiert sie Seed-Phrasen und private Schlüssel, die bestimmten Wallet-bezogenen Mustern entsprechen .

• Tor-basierte C2-Verschleierung: Die Malware startet eine umbenannte Tor-Binärdatei (ugate.exe) in einem versteckten Fenster. Nach etwa 60 Sekunden Wartezeit, damit Tor booten kann, generiert sie eine GUID für das Opfer und registriert das infizierte Gerät bei einem Command-and-Control-Server, der als versteckter Dienst läuft . Der gesamte C2-Verkehr läuft über den lokalen Tor-SOCKS5-Proxy auf localhost:9050, wodurch die Malware herkömmliche IP-basierte Erkennung umgeht .

• Wurmartige USB-Verbreitung: Die Erstinfektion erfolgt über manipulierte .lnk-Verknüpfungen, die auf USB-Speichergeräten verteilt werden . Diese .lnk-Datei startet eine Wurm-Komponente, die prüft, ob das Zielsystem bereits infiziert ist. Ist dies nicht der Fall, lädt sie die eigentliche Payload vom C2-Server über Tor nach . Dieser Mechanismus ermöglicht es der Malware, sich auch auf air-gapped Systeme auszubreiten, wenn infizierte USB-Sticks zwischen verschiedenen Rechnern verwendet werden .

• Zusätzliche Fähigkeiten: Die Malware kann Screenshots anfertigen und diese über Tor an den Angreifer senden. Wenn der C2-Server eine EVAL-Antwort zurückgibt, kann sie zudem beliebigen Schadcode ausführen, der von den Angreifern bereitgestellt wird .

Schutz- und Erkennungsmaßnahmen von Microsoft Defender Experts

Microsoft Defender Experts empfehlen Unternehmen und Privatanwendern die folgenden Maßnahmen :

• AutoRun/AutoPlay für Wechselmedien deaktivieren .
• Ausführung von .lnk-Dateien von USB-Laufwerken blockieren – über Gruppenrichtlinien (Group Policy) .
• Unnötige Nutzung von wscript.exe und cscript.exe einschränken .
• Attack Surface Reduction (ASR)-Regeln aktivieren – insbesondere für verschleierte Skriptausführung und verdächtiges Kindprozess-Verhalten .
• Skript-zu-Netzwerk-Ketten prüfen – zum Beispiel, wenn curl, PowerShell oder cmd.exe von Skript-Interpretern gestartet werden .
• Aktivität auf localhost:9050 überwachen – ein lokaler SOCKS5-Proxy ist ein starkes Indiz .
• Clipboard- und Screenshot-Verhalten auf Geräten prüfen, die mit sensiblen Finanztransaktionen umgehen .

Der weitere Kontext: Zunehmende Clipper-Malware-Aktivität im Jahr 2026

Die CryptoBandits-Kampagne ist Teil einer breiteren Welle von Clipboard-Hijacking- und Clipper-Malware-Aktivitäten, die im Jahr 2026 beobachtet wurden . Zu den weiteren bekannten Kampagnen gehören:

• CountLoader: Eine mehrstufige Kampagne, die JavaScript, PowerShell und Shellcode einsetzt, um eine Clipper-Payload zu verteilen .
• Rust-basierte Clipboard-Hijacker: Diese werden über Phishing-Seiten, GitHub, SourceForge und manipulierte YouTube-Inhalte verbreitet .
• Python-basierte Clipper: Diese Malware wird über Discord als Pro.exe / peeek.exe verteilt und ist speziell auf das Stehlen von Kryptowährungen ausgelegt .
• Linux-Clipper „ClipXDaemon“: Ein autonomer X11-Clipboard-Hijacker, der im Februar 2026 identifiziert wurde und keine C2-Kommunikation benötigt .

Zusammengenommen zeigen diese Berichte ein breites Spektrum an Clipper-Malware-Aktivitäten – von skriptbasierten Windows-Payloads über Tor-Infrastruktur und USB-Verbreitung bis hin zu sozialen Plattformen und Linux-Umgebungen .