Come funziona CryptoBandits

Sostituisce gli indirizzi copiati

CryptoBandits viene eseguito come payload basato su script attraverso WScript e ActiveXObject . Il malware controlla la clipboard all’incirca ogni 500 millisecondi e cerca stringhe riconducibili agli indirizzi di wallet di diverse criptovalute, tra cui Bitcoin, Ethereum, Tron e Monero .

Quando trova un indirizzo, lo sostituisce con uno gestito dagli attaccanti. L’utente può quindi completare normalmente la procedura di invio, ma i fondi vengono indirizzati al wallet sbagliato. Il rischio è particolarmente elevato perché l’operazione avviene tra il copia-incolla e la conferma della transazione, due passaggi che spesso vengono eseguiti in automatico.

Il malware non si limita agli indirizzi: cerca anche seed phrase e chiavi private, elementi che possono consentire il recupero o il controllo diretto di un wallet .

Usa Tor per nascondere il controllo remoto

Per comunicare con gli operatori, CryptoBandits avvia una versione rinominata del programma Tor, indicata come ugate.exe, in una finestra nascosta . Dopo aver atteso circa 60 secondi per completare l’avvio della rete Tor, genera un identificativo univoco della vittima e registra il dispositivo presso un server di comando e controllo ospitato su un servizio nascosto .

Le comunicazioni passano attraverso un proxy SOCKS5 locale, raggiungibile su localhost:9050 . Questo approccio evita di affidarsi a una normale infrastruttura basata su indirizzi IP facilmente riconoscibili e offre agli analisti un importante indicatore da cercare nei sistemi compromessi.

Si propaga tramite chiavette USB

L’infezione iniziale può arrivare da supporti rimovibili contenenti file di collegamento Windows con estensione .lnk . Il collegamento avvia una componente worm che verifica se il computer è già infetto e, in caso contrario, scarica il payload dal server di comando e controllo attraverso Tor .

Il meccanismo è rilevante anche per gli ambienti air-gapped, cioè computer o reti mantenuti fisicamente separati da Internet e dalle altre reti. Se una chiavetta infetta viene spostata tra macchine, può diventare il ponte per trasferire il malware anche dove non esiste una connessione diretta alla rete.

Può catturare schermate ed eseguire codice

Secondo Microsoft, CryptoBandits può inoltre inviare screenshot attraverso Tor . Il server remoto può anche restituire una risposta EVAL, che consente al malware di eseguire codice fornito dall’attaccante durante l’attività dell’infezione .

Queste funzioni ampliano il rischio oltre il semplice dirottamento delle transazioni: un dispositivo compromesso può esporre informazioni visualizzate sullo schermo e ricevere ulteriori istruzioni operative.

Cosa consiglia Microsoft Defender Experts

Le raccomandazioni di Microsoft Defender Experts si concentrano soprattutto sui comportamenti anomali, non soltanto sui singoli file :

• disabilitare AutoRun e AutoPlay per tutti i supporti rimovibili;
• bloccare tramite Group Policy l’esecuzione di file .lnk dalle unità rimovibili;
• limitare, quando non necessari, l’uso di wscript.exe e cscript.exe;
• attivare le regole di Attack Surface Reduction contro l’esecuzione di script offuscati e la creazione sospetta di processi figli;
• analizzare le catene in cui un interprete di script avvia connessioni di rete o strumenti come curl, PowerShell e cmd.exe;
• cercare attività di proxy SOCKS5 su localhost:9050;
• controllare comportamenti anomali legati alla clipboard e alla cattura dello schermo sui dispositivi utilizzati per attività finanziarie sensibili .

Per gli utenti che gestiscono criptovalute, una precauzione essenziale resta il controllo dell’indirizzo completo dopo averlo incollato e prima di autorizzare l’invio. Un indirizzo apparentemente corretto nelle prime o ultime lettere può nascondere una sostituzione effettuata dal malware.

Un’attività di clipper in crescita nel 2026

CryptoBandits si inserisce in una più ampia serie di campagne che prendono di mira la clipboard e le transazioni in criptovaluta . Tra gli esempi segnalati nello stesso periodo figurano:

• CountLoader, una catena a più stadi che utilizza JavaScript, PowerShell e shellcode per distribuire un clipper ;
• clipper scritti in Rust, diffusi attraverso pagine di phishing, GitHub, SourceForge e contenuti manipolati su YouTube ;
• clipper basati su Python, distribuiti su Discord con nomi come Pro.exe e peeek.exe ;
• ClipXDaemon, un malware per Linux che agisce sulla clipboard X11 e che è stato identificato nel febbraio 2026 .

Il quadro mostra un’evoluzione su più fronti: payload Windows eseguiti tramite script, infrastrutture Tor, propagazione via USB, distribuzione attraverso piattaforme social e campagne rivolte ai desktop Linux . Per chi usa wallet digitali, il gesto più semplice — copiare e incollare un indirizzo — è diventato uno dei passaggi da verificare con maggiore attenzione.

Come funziona CryptoBandits

Sostituisce gli indirizzi copiati

CryptoBandits viene eseguito come payload basato su script attraverso WScript e ActiveXObject . Il malware controlla la clipboard all’incirca ogni 500 millisecondi e cerca stringhe riconducibili agli indirizzi di wallet di diverse criptovalute, tra cui Bitcoin, Ethereum, Tron e Monero .

Quando trova un indirizzo, lo sostituisce con uno gestito dagli attaccanti. L’utente può quindi completare normalmente la procedura di invio, ma i fondi vengono indirizzati al wallet sbagliato. Il rischio è particolarmente elevato perché l’operazione avviene tra il copia-incolla e la conferma della transazione, due passaggi che spesso vengono eseguiti in automatico.

Il malware non si limita agli indirizzi: cerca anche seed phrase e chiavi private, elementi che possono consentire il recupero o il controllo diretto di un wallet .

Usa Tor per nascondere il controllo remoto

Per comunicare con gli operatori, CryptoBandits avvia una versione rinominata del programma Tor, indicata come ugate.exe, in una finestra nascosta . Dopo aver atteso circa 60 secondi per completare l’avvio della rete Tor, genera un identificativo univoco della vittima e registra il dispositivo presso un server di comando e controllo ospitato su un servizio nascosto .

Le comunicazioni passano attraverso un proxy SOCKS5 locale, raggiungibile su localhost:9050 . Questo approccio evita di affidarsi a una normale infrastruttura basata su indirizzi IP facilmente riconoscibili e offre agli analisti un importante indicatore da cercare nei sistemi compromessi.

Si propaga tramite chiavette USB

L’infezione iniziale può arrivare da supporti rimovibili contenenti file di collegamento Windows con estensione .lnk . Il collegamento avvia una componente worm che verifica se il computer è già infetto e, in caso contrario, scarica il payload dal server di comando e controllo attraverso Tor .

Il meccanismo è rilevante anche per gli ambienti air-gapped, cioè computer o reti mantenuti fisicamente separati da Internet e dalle altre reti. Se una chiavetta infetta viene spostata tra macchine, può diventare il ponte per trasferire il malware anche dove non esiste una connessione diretta alla rete.

Può catturare schermate ed eseguire codice

Secondo Microsoft, CryptoBandits può inoltre inviare screenshot attraverso Tor . Il server remoto può anche restituire una risposta EVAL, che consente al malware di eseguire codice fornito dall’attaccante durante l’attività dell’infezione .

Queste funzioni ampliano il rischio oltre il semplice dirottamento delle transazioni: un dispositivo compromesso può esporre informazioni visualizzate sullo schermo e ricevere ulteriori istruzioni operative.

Cosa consiglia Microsoft Defender Experts

Le raccomandazioni di Microsoft Defender Experts si concentrano soprattutto sui comportamenti anomali, non soltanto sui singoli file :

• disabilitare AutoRun e AutoPlay per tutti i supporti rimovibili;
• bloccare tramite Group Policy l’esecuzione di file .lnk dalle unità rimovibili;
• limitare, quando non necessari, l’uso di wscript.exe e cscript.exe;
• attivare le regole di Attack Surface Reduction contro l’esecuzione di script offuscati e la creazione sospetta di processi figli;
• analizzare le catene in cui un interprete di script avvia connessioni di rete o strumenti come curl, PowerShell e cmd.exe;
• cercare attività di proxy SOCKS5 su localhost:9050;
• controllare comportamenti anomali legati alla clipboard e alla cattura dello schermo sui dispositivi utilizzati per attività finanziarie sensibili .

Per gli utenti che gestiscono criptovalute, una precauzione essenziale resta il controllo dell’indirizzo completo dopo averlo incollato e prima di autorizzare l’invio. Un indirizzo apparentemente corretto nelle prime o ultime lettere può nascondere una sostituzione effettuata dal malware.

Un’attività di clipper in crescita nel 2026

CryptoBandits si inserisce in una più ampia serie di campagne che prendono di mira la clipboard e le transazioni in criptovaluta . Tra gli esempi segnalati nello stesso periodo figurano:

• CountLoader, una catena a più stadi che utilizza JavaScript, PowerShell e shellcode per distribuire un clipper ;
• clipper scritti in Rust, diffusi attraverso pagine di phishing, GitHub, SourceForge e contenuti manipolati su YouTube ;
• clipper basati su Python, distribuiti su Discord con nomi come Pro.exe e peeek.exe ;
• ClipXDaemon, un malware per Linux che agisce sulla clipboard X11 e che è stato identificato nel febbraio 2026 .

Il quadro mostra un’evoluzione su più fronti: payload Windows eseguiti tramite script, infrastrutture Tor, propagazione via USB, distribuzione attraverso piattaforme social e campagne rivolte ai desktop Linux . Per chi usa wallet digitali, il gesto più semplice — copiare e incollare un indirizzo — è diventato uno dei passaggi da verificare con maggiore attenzione.