CryptoBandits अभियान की मुख्य बातें

• क्लिपबोर्ड-हाईजैकिंग तंत्र: यह मैलवेयर WScript और ActiveXObject के ज़रिए स्क्रिप्ट-आधारित पेलोड के रूप में चलता है । यह लगभग हर 500 मिलीसेकंड में क्लिपबोर्ड पर नज़र रखता है और Bitcoin, Ethereum, Tron, Monero जैसी क्रिप्टोकरेंसियों के कॉपी किए गए वॉलेट एड्रेस को हैकर-नियंत्रित एड्रेस से बदल देता है । साथ ही, यह वॉलेट से जुड़े पैटर्न से मेल खाने वाली सीड फ्रेज़ और प्राइवेट कीज़ भी निकाल लेता है ।

• Tor-आधारित C2 बचाव: मैलवेयर एक छिपी हुई विंडो में ugate.exe नाम से रीनेम की गई Tor बाइनरी को लॉन्च करता है। Tor के बूटस्ट्रैप होने के लिए लगभग 60 सेकंड इंतज़ार करता है, एक विक्टिम GUID जनरेट करता है, और संक्रमित डिवाइस को एक हिडन-सर्विस कमांड-एंड-कंट्रोल सर्वर पर रजिस्टर करता है । C2 कम्यूनिकेशन localhost:9050 पर स्थानीय Tor SOCKS5 प्रॉक्सी के ज़रिए होता है, जो पारंपरिक IP-आधारित इंफ्रास्ट्रक्चर से बचने में मदद करता है ।

• USB के ज़रिए कीड़े की तरह फैलाव: प्रारंभिक संक्रमण USB स्टोरेज डिवाइसों पर वितरित दुर्भावनापूर्ण .lnk शॉर्टकट फ़ाइलों के ज़रिए होता है । .lnk एक वर्म कंपोनेंट को स्टेज करता है जो मौजूदा संक्रमण की जाँच करता है और यदि नहीं है, तो C2 से Tor के ज़रिए पेलोड लाता है । यह तंत्र संक्रमित USB ड्राइव के मशीनों के बीच ले जाने पर मैलवेयर को एयर-गैप्ड वातावरणों में भी फैलने दे सकता है ।

• अतिरिक्त क्षमताएँ: मैलवेयर Tor के ज़रिए स्क्रीनशॉट अपलोड कर सकता है और यदि C2 EVAL रिस्पॉन्स लौटाता है, तो रनटाइम पर अटैकर द्वारा सप्लाइ किए गए मनमाने कोड को निष्पादित कर सकता है ।

Microsoft Defender Experts की डिटेक्शन सिफारिशें

Microsoft Defender Experts ने निम्नलिखित उपाय और हंटिंग स्टेप्स सुझाए हैं :

• सभी रिमूवेबल मीडिया के लिए AutoRun/AutoPlay बंद करें ।
• Group Policy के ज़रिए रिमूवेबल ड्राइव से .lnk एग्ज़ीक्यूशन को ब्लॉक करें ।
• wscript.exe और cscript.exe के अनावश्यक उपयोग को प्रतिबंधित करें ।
• अस्पष्ट स्क्रिप्ट एग्ज़ीक्यूशन और संदिग्ध चाइल्ड-प्रोसेस व्यवहार पर केंद्रित Attack Surface Reduction नियमों को सक्षम करें ।
• curl, PowerShell, या cmd.exe से संबंधित स्क्रिप्ट-टू-नेटवर्क चेन की जाँच करें ।
• localhost:9050 पर स्थानीय SOCKS5 प्रॉक्सी गतिविधि की तलाश करें ।
• संवेदनशील वित्तीय वर्कफ़्लो को संभालने वाले उपकरणों पर क्लिपबोर्ड और स्क्रीन-कैप्चर व्यवहार की समीक्षा करें ।

व्यापक संदर्भ: 2026 में बढ़ती क्लिपर मैलवेयर गतिविधि

CryptoBandits अभियान क्रिप्टोकरेंसी क्लिपर और क्लिपबोर्ड-हाईजैकिंग गतिविधियों की एक व्यापक श्रृंखला का हिस्सा है । इस अवधि के आसपास रिपोर्ट किए गए अन्य उल्लेखनीय क्लिपर ऑपरेशनों में शामिल हैं:

• CountLoader: JavaScript, PowerShell और शेलकोड का उपयोग करके क्लिपर पेलोड वितरित करने वाला एक मल्टी-स्टेज अभियान ।
• Rust-आधारित क्लिपबोर्ड हाईजैकर्स: फ़िशिंग पेजों, GitHub, SourceForge और हेरफेर की गई YouTube सामग्री के माध्यम से वितरित ।
• Python-आधारित क्लिपर्स: Pro.exe / peeek.exe के रूप में Discord के ज़रिए वितरित ।
• Linux-केंद्रित क्लिपर्स: जैसे "ClipXDaemon" - फरवरी 2026 में पहचाना गया एक स्वायत्त X11 क्लिपबोर्ड हाईजैकर ।

कुल मिलाकर, ये रिपोर्ट दिखाती हैं कि क्लिपर मैलवेयर गतिविधि स्क्रिप्ट-संचालित Windows पेलोड, Tor-सक्षम इंफ्रास्ट्रक्चर, USB-आधारित प्रसार, सोशल-प्लेटफ़ॉर्म वितरण और Linux-केंद्रित क्लिपबोर्ड हाईजैकिंग तक फैली हुई है ।

CryptoBandits अभियान की मुख्य बातें

• क्लिपबोर्ड-हाईजैकिंग तंत्र: यह मैलवेयर WScript और ActiveXObject के ज़रिए स्क्रिप्ट-आधारित पेलोड के रूप में चलता है । यह लगभग हर 500 मिलीसेकंड में क्लिपबोर्ड पर नज़र रखता है और Bitcoin, Ethereum, Tron, Monero जैसी क्रिप्टोकरेंसियों के कॉपी किए गए वॉलेट एड्रेस को हैकर-नियंत्रित एड्रेस से बदल देता है । साथ ही, यह वॉलेट से जुड़े पैटर्न से मेल खाने वाली सीड फ्रेज़ और प्राइवेट कीज़ भी निकाल लेता है ।

• Tor-आधारित C2 बचाव: मैलवेयर एक छिपी हुई विंडो में ugate.exe नाम से रीनेम की गई Tor बाइनरी को लॉन्च करता है। Tor के बूटस्ट्रैप होने के लिए लगभग 60 सेकंड इंतज़ार करता है, एक विक्टिम GUID जनरेट करता है, और संक्रमित डिवाइस को एक हिडन-सर्विस कमांड-एंड-कंट्रोल सर्वर पर रजिस्टर करता है । C2 कम्यूनिकेशन localhost:9050 पर स्थानीय Tor SOCKS5 प्रॉक्सी के ज़रिए होता है, जो पारंपरिक IP-आधारित इंफ्रास्ट्रक्चर से बचने में मदद करता है ।

• USB के ज़रिए कीड़े की तरह फैलाव: प्रारंभिक संक्रमण USB स्टोरेज डिवाइसों पर वितरित दुर्भावनापूर्ण .lnk शॉर्टकट फ़ाइलों के ज़रिए होता है । .lnk एक वर्म कंपोनेंट को स्टेज करता है जो मौजूदा संक्रमण की जाँच करता है और यदि नहीं है, तो C2 से Tor के ज़रिए पेलोड लाता है । यह तंत्र संक्रमित USB ड्राइव के मशीनों के बीच ले जाने पर मैलवेयर को एयर-गैप्ड वातावरणों में भी फैलने दे सकता है ।

• अतिरिक्त क्षमताएँ: मैलवेयर Tor के ज़रिए स्क्रीनशॉट अपलोड कर सकता है और यदि C2 EVAL रिस्पॉन्स लौटाता है, तो रनटाइम पर अटैकर द्वारा सप्लाइ किए गए मनमाने कोड को निष्पादित कर सकता है ।

Microsoft Defender Experts की डिटेक्शन सिफारिशें

Microsoft Defender Experts ने निम्नलिखित उपाय और हंटिंग स्टेप्स सुझाए हैं :

• सभी रिमूवेबल मीडिया के लिए AutoRun/AutoPlay बंद करें ।
• Group Policy के ज़रिए रिमूवेबल ड्राइव से .lnk एग्ज़ीक्यूशन को ब्लॉक करें ।
• wscript.exe और cscript.exe के अनावश्यक उपयोग को प्रतिबंधित करें ।
• अस्पष्ट स्क्रिप्ट एग्ज़ीक्यूशन और संदिग्ध चाइल्ड-प्रोसेस व्यवहार पर केंद्रित Attack Surface Reduction नियमों को सक्षम करें ।
• curl, PowerShell, या cmd.exe से संबंधित स्क्रिप्ट-टू-नेटवर्क चेन की जाँच करें ।
• localhost:9050 पर स्थानीय SOCKS5 प्रॉक्सी गतिविधि की तलाश करें ।
• संवेदनशील वित्तीय वर्कफ़्लो को संभालने वाले उपकरणों पर क्लिपबोर्ड और स्क्रीन-कैप्चर व्यवहार की समीक्षा करें ।

व्यापक संदर्भ: 2026 में बढ़ती क्लिपर मैलवेयर गतिविधि

CryptoBandits अभियान क्रिप्टोकरेंसी क्लिपर और क्लिपबोर्ड-हाईजैकिंग गतिविधियों की एक व्यापक श्रृंखला का हिस्सा है । इस अवधि के आसपास रिपोर्ट किए गए अन्य उल्लेखनीय क्लिपर ऑपरेशनों में शामिल हैं:

• CountLoader: JavaScript, PowerShell और शेलकोड का उपयोग करके क्लिपर पेलोड वितरित करने वाला एक मल्टी-स्टेज अभियान ।
• Rust-आधारित क्लिपबोर्ड हाईजैकर्स: फ़िशिंग पेजों, GitHub, SourceForge और हेरफेर की गई YouTube सामग्री के माध्यम से वितरित ।
• Python-आधारित क्लिपर्स: Pro.exe / peeek.exe के रूप में Discord के ज़रिए वितरित ।
• Linux-केंद्रित क्लिपर्स: जैसे "ClipXDaemon" - फरवरी 2026 में पहचाना गया एक स्वायत्त X11 क्लिपबोर्ड हाईजैकर ।

कुल मिलाकर, ये रिपोर्ट दिखाती हैं कि क्लिपर मैलवेयर गतिविधि स्क्रिप्ट-संचालित Windows पेलोड, Tor-सक्षम इंफ्रास्ट्रक्चर, USB-आधारित प्रसार, सोशल-प्लेटफ़ॉर्म वितरण और Linux-केंद्रित क्लिपबोर्ड हाईजैकिंग तक फैली हुई है ।