Bagaimana malware CryptoBandits mencuri kripto?

1. Alamat dompet diganti saat disalin

Malware ini berjalan sebagai muatan berbasis skrip melalui Windows Script Host, termasuk WScript dan ActiveXObject . Setelah aktif, malware memantau clipboard kira-kira setiap 500 milidetik.

Ketika pengguna menyalin alamat dompet, malware mencari pola yang menyerupai alamat kripto. Alamat tersebut kemudian diganti dengan alamat yang dikendalikan penyerang. Mekanisme ini dilaporkan menargetkan alamat Bitcoin, Ethereum, Tron, Monero, dan aset kripto lainnya .

Risikonya muncul ketika pengguna langsung menempelkan alamat itu ke kolom tujuan transaksi tanpa memeriksa ulang. Transaksi dapat terkirim ke dompet penyerang, bukan ke penerima yang dimaksud.

Malware ini juga mampu mencari dan mengambil seed phrase serta private key berdasarkan pola yang berkaitan dengan dompet kripto . Seed phrase adalah rangkaian kata pemulihan dompet, sedangkan private key merupakan kredensial rahasia untuk mengakses dan menandatangani transaksi. Keduanya harus diperlakukan seperti kunci utama aset digital.

2. Tor dipakai untuk menyamarkan komunikasi

Untuk berkomunikasi dengan server kendali dan komando atau C2, malware menjalankan berkas Tor yang telah diganti namanya menjadi ugate.exe dalam jendela tersembunyi . Malware menunggu sekitar 60 detik hingga Tor siap digunakan, lalu membuat GUID korban dan mendaftarkan perangkat yang terinfeksi ke server C2 berbasis hidden service .

Komunikasi tersebut melewati proksi SOCKS5 lokal di localhost:9050 . Dengan cara ini, infrastruktur penyerang tidak bergantung pada alamat IP konvensional yang lebih mudah dilacak atau diblokir.

3. Menyebar melalui shortcut berbahaya di USB

Infeksi awal dapat terjadi melalui berkas shortcut .lnk berbahaya yang disebarkan menggunakan perangkat penyimpanan USB . Saat shortcut dijalankan, komponen worm memeriksa apakah komputer sudah terinfeksi. Jika belum, komponen tersebut mengambil muatan malware dari server C2 melalui Tor .

Pola ini membuat USB yang terinfeksi berpotensi menjadi jembatan antarperangkat. Bahkan komputer dalam lingkungan air-gapped dapat berisiko ketika USB dipindahkan dari satu mesin ke mesin lain. Pemisahan jaringan tidak otomatis melindungi perangkat jika media penyimpanan yang digunakan sebagai perantara sudah terkontaminasi.

4. Mengambil tangkapan layar dan menjalankan kode

Selain mencuri atau mengganti data clipboard, malware dapat mengunggah tangkapan layar melalui Tor . Jika server C2 mengirimkan respons EVAL, malware juga dapat menjalankan kode yang diberikan penyerang saat runtime . Kemampuan ini memberi penyerang ruang untuk mengubah instruksi setelah perangkat korban berhasil dikuasai.

Rekomendasi deteksi dari Microsoft Defender Experts

Microsoft Defender Experts menyarankan sejumlah langkah mitigasi dan perburuan ancaman berikut :

• Nonaktifkan AutoRun dan AutoPlay untuk seluruh media yang dapat dilepas.
• Blokir eksekusi berkas .lnk dari drive yang dapat dilepas melalui Group Policy.
• Batasi penggunaan wscript.exe dan cscript.exe jika tidak diperlukan.
• Aktifkan aturan Attack Surface Reduction yang berfokus pada eksekusi skrip tersamar dan perilaku proses turunan yang mencurigakan.
• Selidiki rangkaian aktivitas ketika interpreter skrip terhubung ke jaringan lalu memanggil curl, PowerShell, atau cmd.exe.
• Lakukan pencarian terhadap aktivitas proksi SOCKS5 lokal di localhost:9050.
• Tinjau aktivitas clipboard dan tangkapan layar pada perangkat yang digunakan untuk alur kerja keuangan sensitif.

Untuk pengguna biasa, langkah paling penting adalah memeriksa kembali alamat dompet setelah menempelkannya, terutama sebelum mengonfirmasi transaksi. Jangan mengandalkan tampilan awal alamat yang disalin; bandingkan alamat lengkap atau setidaknya bagian awal dan akhirnya.

CryptoBandits menjadi bagian dari tren clipper yang lebih luas

Kampanye ini muncul di tengah meningkatnya laporan mengenai malware clipper dan pembajakan clipboard kripto pada 2026 . Beberapa operasi lain yang dilaporkan antara lain:

• CountLoader, kampanye bertahap yang memanfaatkan JavaScript, PowerShell, dan shellcode untuk mengirimkan muatan clipper .
• Pembajak clipboard berbasis Rust, yang disebarkan melalui halaman phishing, GitHub, SourceForge, dan konten YouTube yang telah dimanipulasi .
• Clipper berbasis Python, yang beredar melalui Discord dengan nama Pro.exe atau peeek.exe .
• Clipper yang menargetkan Linux, termasuk “ClipXDaemon”, pembajak clipboard X11 otonom yang diidentifikasi pada Februari 2026 .

Rangkaian laporan tersebut menunjukkan bahwa clipper tidak lagi terbatas pada satu metode penyebaran. Pelaku memanfaatkan skrip Windows, infrastruktur Tor, USB, platform sosial, serta malware yang menargetkan Linux . Bagi pengguna dan administrator sistem, pemeriksaan alamat tujuan secara manual, pengendalian perangkat USB, dan pemantauan perilaku proses menjadi lapisan pertahanan penting.

Bagaimana malware CryptoBandits mencuri kripto?

1. Alamat dompet diganti saat disalin

Malware ini berjalan sebagai muatan berbasis skrip melalui Windows Script Host, termasuk WScript dan ActiveXObject . Setelah aktif, malware memantau clipboard kira-kira setiap 500 milidetik.

Ketika pengguna menyalin alamat dompet, malware mencari pola yang menyerupai alamat kripto. Alamat tersebut kemudian diganti dengan alamat yang dikendalikan penyerang. Mekanisme ini dilaporkan menargetkan alamat Bitcoin, Ethereum, Tron, Monero, dan aset kripto lainnya .

Risikonya muncul ketika pengguna langsung menempelkan alamat itu ke kolom tujuan transaksi tanpa memeriksa ulang. Transaksi dapat terkirim ke dompet penyerang, bukan ke penerima yang dimaksud.

Malware ini juga mampu mencari dan mengambil seed phrase serta private key berdasarkan pola yang berkaitan dengan dompet kripto . Seed phrase adalah rangkaian kata pemulihan dompet, sedangkan private key merupakan kredensial rahasia untuk mengakses dan menandatangani transaksi. Keduanya harus diperlakukan seperti kunci utama aset digital.

2. Tor dipakai untuk menyamarkan komunikasi

Untuk berkomunikasi dengan server kendali dan komando atau C2, malware menjalankan berkas Tor yang telah diganti namanya menjadi ugate.exe dalam jendela tersembunyi . Malware menunggu sekitar 60 detik hingga Tor siap digunakan, lalu membuat GUID korban dan mendaftarkan perangkat yang terinfeksi ke server C2 berbasis hidden service .

Komunikasi tersebut melewati proksi SOCKS5 lokal di localhost:9050 . Dengan cara ini, infrastruktur penyerang tidak bergantung pada alamat IP konvensional yang lebih mudah dilacak atau diblokir.

3. Menyebar melalui shortcut berbahaya di USB

Infeksi awal dapat terjadi melalui berkas shortcut .lnk berbahaya yang disebarkan menggunakan perangkat penyimpanan USB . Saat shortcut dijalankan, komponen worm memeriksa apakah komputer sudah terinfeksi. Jika belum, komponen tersebut mengambil muatan malware dari server C2 melalui Tor .

Pola ini membuat USB yang terinfeksi berpotensi menjadi jembatan antarperangkat. Bahkan komputer dalam lingkungan air-gapped dapat berisiko ketika USB dipindahkan dari satu mesin ke mesin lain. Pemisahan jaringan tidak otomatis melindungi perangkat jika media penyimpanan yang digunakan sebagai perantara sudah terkontaminasi.

4. Mengambil tangkapan layar dan menjalankan kode

Selain mencuri atau mengganti data clipboard, malware dapat mengunggah tangkapan layar melalui Tor . Jika server C2 mengirimkan respons EVAL, malware juga dapat menjalankan kode yang diberikan penyerang saat runtime . Kemampuan ini memberi penyerang ruang untuk mengubah instruksi setelah perangkat korban berhasil dikuasai.

Rekomendasi deteksi dari Microsoft Defender Experts

Microsoft Defender Experts menyarankan sejumlah langkah mitigasi dan perburuan ancaman berikut :

• Nonaktifkan AutoRun dan AutoPlay untuk seluruh media yang dapat dilepas.
• Blokir eksekusi berkas .lnk dari drive yang dapat dilepas melalui Group Policy.
• Batasi penggunaan wscript.exe dan cscript.exe jika tidak diperlukan.
• Aktifkan aturan Attack Surface Reduction yang berfokus pada eksekusi skrip tersamar dan perilaku proses turunan yang mencurigakan.
• Selidiki rangkaian aktivitas ketika interpreter skrip terhubung ke jaringan lalu memanggil curl, PowerShell, atau cmd.exe.
• Lakukan pencarian terhadap aktivitas proksi SOCKS5 lokal di localhost:9050.
• Tinjau aktivitas clipboard dan tangkapan layar pada perangkat yang digunakan untuk alur kerja keuangan sensitif.

Untuk pengguna biasa, langkah paling penting adalah memeriksa kembali alamat dompet setelah menempelkannya, terutama sebelum mengonfirmasi transaksi. Jangan mengandalkan tampilan awal alamat yang disalin; bandingkan alamat lengkap atau setidaknya bagian awal dan akhirnya.

CryptoBandits menjadi bagian dari tren clipper yang lebih luas

Kampanye ini muncul di tengah meningkatnya laporan mengenai malware clipper dan pembajakan clipboard kripto pada 2026 . Beberapa operasi lain yang dilaporkan antara lain:

• CountLoader, kampanye bertahap yang memanfaatkan JavaScript, PowerShell, dan shellcode untuk mengirimkan muatan clipper .
• Pembajak clipboard berbasis Rust, yang disebarkan melalui halaman phishing, GitHub, SourceForge, dan konten YouTube yang telah dimanipulasi .
• Clipper berbasis Python, yang beredar melalui Discord dengan nama Pro.exe atau peeek.exe .
• Clipper yang menargetkan Linux, termasuk “ClipXDaemon”, pembajak clipboard X11 otonom yang diidentifikasi pada Februari 2026 .

Rangkaian laporan tersebut menunjukkan bahwa clipper tidak lagi terbatas pada satu metode penyebaran. Pelaku memanfaatkan skrip Windows, infrastruktur Tor, USB, platform sosial, serta malware yang menargetkan Linux . Bagi pengguna dan administrator sistem, pemeriksaan alamat tujuan secara manual, pengendalian perangkat USB, dan pemantauan perilaku proses menjadi lapisan pertahanan penting.