CryptoBandits : comment un malware détourne vos cryptomonnaies en piratant le presse-papiers, Tor et les clés USB

Recommendations de détection de Microsoft Defender Experts

Microsoft Defender Experts préconisent les mesures de protection et de recherche suivantes :

• Désactiver l'exécution automatique (AutoRun/AutoPlay) pour tous les supports amovibles .
• Bloquer l'exécution des fichiers .lnk depuis les lecteurs amovibles via la stratégie de groupe (Group Policy) .
• Restreindre l'utilisation inutile de wscript.exe et cscript.exe .
• Activer les règles de réduction de la surface d'attaque (Attack Surface Reduction) ciblant l'exécution de scripts obscurcis et le comportement suspect des processus enfants .
• Surveiller les chaînes script-réseau impliquant curl, PowerShell ou cmd.exe .
• Rechercher une activité de proxy SOCKS5 local sur localhost:9050 .
• Examiner les comportements de capture d'écran et de presse-papiers sur les appareils manipulant des opérations financières sensibles .

Contexte plus large : l'activité croissante des clippers en 2026

La campagne CryptoBandits s'inscrit dans un contexte plus large d'activité de clippers et de détournements de presse-papiers . Parmi les autres opérations notables signalées récemment, on trouve :

• CountLoader : Une campagne multi-étapes utilisant JavaScript, PowerShell et shellcode pour distribuer une charge utile clipper .
• Détourneurs de presse-papiers en Rust : Distribués via des pages de phishing, GitHub, SourceForge, et du contenu YouTube manipulé .
• Clippers en Python : Distribués via Discord sous les noms Pro.exe / peeek.exe .
• Clippers ciblant Linux : Comme "ClipXDaemon", un détourneur de presse-papiers X11 autonome identifié en février 2026 .

L'ensemble de ces rapports montre une activité de clipper utilisant des charges utiles Windows pilotées par scripts, une infrastructure Tor, une propagation via USB, une distribution via les réseaux sociaux, et un ciblage de Linux .