כך פועלת נוזקת CryptoBandits

החלפת כתובות בזמן ההעתקה

הנוזקה מופעלת כמטען מבוסס סקריפט באמצעות WScript ו-ActiveXObject . היא בודקת את תוכן הלוח בערך כל 500 מילישניות. כאשר המשתמש מעתיק כתובת של ארנק קריפטו, הנוזקה מזהה תבנית שמתאימה לכתובות של ביטקוין, את'ריום, טרון, מונרו ומטבעות נוספים — ומחליפה אותה בכתובת שנשלטת בידי התוקפים .

הסכנה היא שההחלפה יכולה להתרחש לפני שהמשתמש מדביק את הכתובת בטופס העברה. אם הכתובת אינה נבדקת שוב, הכספים עלולים להישלח ליעד של התוקף במקום לנמען המקורי. לפי מיקרוסופט, הנוזקה גם מחפשת מילות שחזור — רצפי המילים שמאפשרים לשחזר ארנק — וכן מפתחות פרטיים לפי תבניות הקשורות לארנקים .

תקשורת דרך Tor במקום תשתית רגילה

כדי להקשות על זיהוי התקשורת, הקמפיין מפעיל קובץ Tor ששמו שונה ל-ugate.exe בחלון מוסתר. לאחר המתנה של כ-60 שניות לאתחול Tor, הנוזקה יוצרת מזהה ייחודי לקורבן ורושמת את המחשב מול שרת פיקוד ושליטה (C2) המבוסס על שירות נסתר .

התקשורת עוברת דרך פרוקסי SOCKS5 מקומי בכתובת localhost:9050. כך התוקפים אינם מסתמכים על תשתית IP רגילה, והפעילות עשויה להיות קשה יותר לאיתור באמצעות כללי ניטור רשת מסורתיים .

הפצה באמצעות כונני USB

ההדבקה הראשונית עשויה להגיע דרך קובצי קיצור דרך זדוניים מסוג .lnk, המופצים על התקני אחסון נשלפים . קובץ הקיצור מפעיל רכיב תולעת שבודק אם המחשב כבר נגוע. אם לא, הוא מוריד את המטען משרת הפיקוד והשליטה דרך Tor .

מנגנון כזה עלול לאפשר מעבר בין מחשבים בסביבות air-gapped — מחשבים שמבודדים מהרשת — כאשר כונן USB נגוע מועבר פיזית בין המערכות. אין בכך פירוש שכל מערכת מבודדת תידבק אוטומטית, אך בידוד מהרשת לבדו אינו מגן אם משתמשים בהתקני USB משותפים .

צילום מסך והרצת קוד

לפי מיקרוסופט, הנוזקה יכולה להעלות צילומי מסך דרך Tor. בנוסף, אם שרת ה-C2 מחזיר תגובת EVAL, היא מסוגלת להריץ בזמן אמת קוד שסופק בידי התוקפים . יכולות אלה מרחיבות את האיום מעבר להחלפת כתובות ארנק בלבד.

מה ממליצים מומחי Microsoft Defender?

Microsoft Defender Experts ממליצים על שורת פעולות לצמצום הסיכון ולזיהוי התנהגות חשודה :

• להשבית AutoRun ו-AutoPlay עבור כל המדיה הנשלפת.
• לחסום הפעלה של קובצי .lnk מכוננים נשלפים באמצעות Group Policy.
• להגביל שימוש שאינו נחוץ ב-wscript.exe וב-cscript.exe.
• להפעיל כללי Attack Surface Reduction המתמקדים בהרצת סקריפטים מעורפלים ובהתנהגות חשודה של תהליכי-ילד.
• לבדוק שרשראות שבהן מפרש סקריפטים מפעיל תקשורת או כלים כמו curl, ‏PowerShell או cmd.exe.
• לחפש פעילות של פרוקסי SOCKS5 מקומי ב-localhost:9050.
• לבדוק התנהגות הקשורה ללוח ההעתקה ולצילום מסך במחשבים המשמשים לתהליכים פיננסיים רגישים.

עבור משתמשים שמבצעים העברות קריפטו, ההגנה הבסיסית היא לבדוק את כתובת היעד לאחר ההדבקה ולפני אישור העסקה — לא להסתמך על כך שהעתקה והדבקה שימרו את הטקסט המקורי.

חלק ממגמה רחבה יותר של נוזקות clipper

CryptoBandits משתלב בשורה של דיווחים על נוזקות clipper וחוטפי לוח המתמקדות במטבעות דיגיטליים . בין הפעילות שדווחה בתקופה זו:

• CountLoader — קמפיין רב-שלבי המשתמש ב-JavaScript, ‏PowerShell ו-shellcode כדי להפיץ מטען clipper .
• חוטפי לוח מבוססי Rust — הופצו באמצעות דפי פישינג, GitHub, SourceForge ותוכן YouTube שעבר מניפולציה .
• Clippers מבוססי Python — הופצו דרך Discord תחת השמות Pro.exe ו-peeek.exe .
• נוזקות המתמקדות ב-Linux — בהן ClipXDaemon, חוטף לוח אוטונומי לסביבות X11 שזוהה בפברואר 2026 .

התמונה המצטיירת היא של איום שפועל בכמה ערוצים במקביל: מטעני Windows מבוססי סקריפטים, תשתיות Tor, הפצה דרך USB, הפצה ברשתות חברתיות וחטיפת לוח במערכות Linux .

כך פועלת נוזקת CryptoBandits

החלפת כתובות בזמן ההעתקה

הנוזקה מופעלת כמטען מבוסס סקריפט באמצעות WScript ו-ActiveXObject . היא בודקת את תוכן הלוח בערך כל 500 מילישניות. כאשר המשתמש מעתיק כתובת של ארנק קריפטו, הנוזקה מזהה תבנית שמתאימה לכתובות של ביטקוין, את'ריום, טרון, מונרו ומטבעות נוספים — ומחליפה אותה בכתובת שנשלטת בידי התוקפים .

הסכנה היא שההחלפה יכולה להתרחש לפני שהמשתמש מדביק את הכתובת בטופס העברה. אם הכתובת אינה נבדקת שוב, הכספים עלולים להישלח ליעד של התוקף במקום לנמען המקורי. לפי מיקרוסופט, הנוזקה גם מחפשת מילות שחזור — רצפי המילים שמאפשרים לשחזר ארנק — וכן מפתחות פרטיים לפי תבניות הקשורות לארנקים .

תקשורת דרך Tor במקום תשתית רגילה

כדי להקשות על זיהוי התקשורת, הקמפיין מפעיל קובץ Tor ששמו שונה ל-ugate.exe בחלון מוסתר. לאחר המתנה של כ-60 שניות לאתחול Tor, הנוזקה יוצרת מזהה ייחודי לקורבן ורושמת את המחשב מול שרת פיקוד ושליטה (C2) המבוסס על שירות נסתר .

התקשורת עוברת דרך פרוקסי SOCKS5 מקומי בכתובת localhost:9050. כך התוקפים אינם מסתמכים על תשתית IP רגילה, והפעילות עשויה להיות קשה יותר לאיתור באמצעות כללי ניטור רשת מסורתיים .

הפצה באמצעות כונני USB

ההדבקה הראשונית עשויה להגיע דרך קובצי קיצור דרך זדוניים מסוג .lnk, המופצים על התקני אחסון נשלפים . קובץ הקיצור מפעיל רכיב תולעת שבודק אם המחשב כבר נגוע. אם לא, הוא מוריד את המטען משרת הפיקוד והשליטה דרך Tor .

מנגנון כזה עלול לאפשר מעבר בין מחשבים בסביבות air-gapped — מחשבים שמבודדים מהרשת — כאשר כונן USB נגוע מועבר פיזית בין המערכות. אין בכך פירוש שכל מערכת מבודדת תידבק אוטומטית, אך בידוד מהרשת לבדו אינו מגן אם משתמשים בהתקני USB משותפים .

צילום מסך והרצת קוד

לפי מיקרוסופט, הנוזקה יכולה להעלות צילומי מסך דרך Tor. בנוסף, אם שרת ה-C2 מחזיר תגובת EVAL, היא מסוגלת להריץ בזמן אמת קוד שסופק בידי התוקפים . יכולות אלה מרחיבות את האיום מעבר להחלפת כתובות ארנק בלבד.

מה ממליצים מומחי Microsoft Defender?

Microsoft Defender Experts ממליצים על שורת פעולות לצמצום הסיכון ולזיהוי התנהגות חשודה :

• להשבית AutoRun ו-AutoPlay עבור כל המדיה הנשלפת.
• לחסום הפעלה של קובצי .lnk מכוננים נשלפים באמצעות Group Policy.
• להגביל שימוש שאינו נחוץ ב-wscript.exe וב-cscript.exe.
• להפעיל כללי Attack Surface Reduction המתמקדים בהרצת סקריפטים מעורפלים ובהתנהגות חשודה של תהליכי-ילד.
• לבדוק שרשראות שבהן מפרש סקריפטים מפעיל תקשורת או כלים כמו curl, ‏PowerShell או cmd.exe.
• לחפש פעילות של פרוקסי SOCKS5 מקומי ב-localhost:9050.
• לבדוק התנהגות הקשורה ללוח ההעתקה ולצילום מסך במחשבים המשמשים לתהליכים פיננסיים רגישים.

עבור משתמשים שמבצעים העברות קריפטו, ההגנה הבסיסית היא לבדוק את כתובת היעד לאחר ההדבקה ולפני אישור העסקה — לא להסתמך על כך שהעתקה והדבקה שימרו את הטקסט המקורי.

חלק ממגמה רחבה יותר של נוזקות clipper

CryptoBandits משתלב בשורה של דיווחים על נוזקות clipper וחוטפי לוח המתמקדות במטבעות דיגיטליים . בין הפעילות שדווחה בתקופה זו:

• CountLoader — קמפיין רב-שלבי המשתמש ב-JavaScript, ‏PowerShell ו-shellcode כדי להפיץ מטען clipper .
• חוטפי לוח מבוססי Rust — הופצו באמצעות דפי פישינג, GitHub, SourceForge ותוכן YouTube שעבר מניפולציה .
• Clippers מבוססי Python — הופצו דרך Discord תחת השמות Pro.exe ו-peeek.exe .
• נוזקות המתמקדות ב-Linux — בהן ClipXDaemon, חוטף לוח אוטונומי לסביבות X11 שזוהה בפברואר 2026 .

התמונה המצטיירת היא של איום שפועל בכמה ערוצים במקביל: מטעני Windows מבוססי סקריפטים, תשתיות Tor, הפצה דרך USB, הפצה ברשתות חברתיות וחטיפת לוח במערכות Linux .