CryptoBanditsキャンペーンの詳細な仕組み

クリップボードハイジャックの仕組み

このマルウェアはWScriptとActiveXObjectを利用したスクリプトベースのペイロードとして実行される。クリップボードを約500ミリ秒ごとに監視し、コピーされた暗号資産のWalletアドレス（Bitcoin、Ethereum、Tron、Moneroなど）を攻撃者が管理するアドレスにすり替える。さらに、Wallet関連のパターンに一致するシードフレーズ（リカバリーフレーズ）や秘密鍵も抽出する。

ユーザーが送金先アドレスをコピー＆ペーストするのはごく自然な習慣だが、このマルウェアはその動作を悪用する。送金時にアドレスを確認しても、一見正しい形式に見えるため、多くのユーザーはすり替えに気づかない可能性が高い。

TorによるC2通信の隠蔽

マルウェアはTorバイナリを「ugate.exe」に改名し、隠しウィンドウで起動する。Torのブートストラップ完了まで約60秒待機し、その後感染デバイスに固有のGUIDを生成。隠しサービス型のC2サーバーにデバイスを登録する。

C2通信はローカルのTor SOCKS5プロキシ（localhost:9050）を経由して行われるため、従来型のIPベースのインフラストラクチャを経由せず、検知を回避できる。

USB経由のワーム的拡散

初期感染はUSBストレージデバイスに仕掛けられた悪意ある.lnkショートカットファイルを介して行われる。この.lnkがワームコンポーネントを起動し、感染の有無をチェック。未感染の場合、Tor経由でC2からペイロードを取得する。

この仕組みにより、感染したUSBメモリを別のPCに接続するだけでマルウェアが拡散する。特に、インターネットから隔離されたエアギャップ環境にも侵入可能な点は、金融機関や重要インフラの事業者にとって深刻な脅威となる。

その他の機能

• Tor経由でのスクリーンショットの窃取
• C2からEVALレスポンスが返された場合、攻撃者提供の任意コードを実行可能

Microsoft Defender Expertsが推奨する対策と検出手法

Microsoft Defender Expertsは以下の対策を推奨している：

1. すべてのリムーバブルメディアのAutoRun/AutoPlayを無効化
2. グループポリシーでリムーバブルドライブからの.lnkファイル実行をブロック
3. wscript.exeおよびcscript.exeの不必要な使用を制限
4. 難読化されたスクリプト実行や不審な子プロセス動作に焦点を当てたAttack Surface Reductionルールを有効化
5. curl、PowerShell、cmd.exeを介したスクリプトからネットワークへの通信チェーンを調査
6. localhost:9050でのローカルSOCKS5プロキシアクティビティを積極的にハント
7. 機密性の高い金融ワークフローを扱うデバイスでは、クリップボード関連操作や画面キャプチャ動作を確認

2026年に急増するクリッパーマルウェアの全体像

CryptoBanditsキャンペーンは、2026年に報告された暗号資産クリッパー（クリップボードハイジャッカー）活動の一部である。主な関連事例は以下の通り：

これらの報告から、クリッパーマルウェアはWindowsスクリプト駆動ペイロード、Tor対応インフラ、USB経由の伝染、ソーシャルプラットフォーム経由の配布、Linux対応と、多岐にわたる攻撃ベクトルを展開していることがわかる。

日本のユーザーがとるべき対策

日本では暗号資産取引が活発で、特に個人投資家がコピー＆ペーストでアドレスを入力するケースが多い。以下の点を徹底してほしい：

• 送金前に必ずアドレスを目視確認 — コピー後、ペースト先で最初の数文字と最後の数文字だけでなく、全体を確認する習慣を
• USBメモリの取り扱いに注意 — 信頼できないUSBメモリをPCに挿さない。特にオフィスや共有スペースで見つかったUSBメモリは決して使用しない
• セキュリティソフトの最新状態を維持 — Windows Defender（Microsoft Defender）を最新に更新
• 不審な.lnkファイルを開かない — USBメモリ内のショートカットファイル（.lnk）は特に要注意
• localhost:9050の通信を監視 — 特に業務で暗号資産を取り扱う組織は、このポートへの通信を監視対象に

MicrosoftはCryptoBandits関連の検出を提供しており、Defenderユーザーは既に保護を受けている可能性が高い。しかし、最も効果的な防御はユーザー自身の注意と適切な運用習慣である。

CryptoBanditsキャンペーンの詳細な仕組み

クリップボードハイジャックの仕組み

このマルウェアはWScriptとActiveXObjectを利用したスクリプトベースのペイロードとして実行される。クリップボードを約500ミリ秒ごとに監視し、コピーされた暗号資産のWalletアドレス（Bitcoin、Ethereum、Tron、Moneroなど）を攻撃者が管理するアドレスにすり替える。さらに、Wallet関連のパターンに一致するシードフレーズ（リカバリーフレーズ）や秘密鍵も抽出する。

ユーザーが送金先アドレスをコピー＆ペーストするのはごく自然な習慣だが、このマルウェアはその動作を悪用する。送金時にアドレスを確認しても、一見正しい形式に見えるため、多くのユーザーはすり替えに気づかない可能性が高い。

TorによるC2通信の隠蔽

マルウェアはTorバイナリを「ugate.exe」に改名し、隠しウィンドウで起動する。Torのブートストラップ完了まで約60秒待機し、その後感染デバイスに固有のGUIDを生成。隠しサービス型のC2サーバーにデバイスを登録する。

C2通信はローカルのTor SOCKS5プロキシ（localhost:9050）を経由して行われるため、従来型のIPベースのインフラストラクチャを経由せず、検知を回避できる。

USB経由のワーム的拡散

初期感染はUSBストレージデバイスに仕掛けられた悪意ある.lnkショートカットファイルを介して行われる。この.lnkがワームコンポーネントを起動し、感染の有無をチェック。未感染の場合、Tor経由でC2からペイロードを取得する。

この仕組みにより、感染したUSBメモリを別のPCに接続するだけでマルウェアが拡散する。特に、インターネットから隔離されたエアギャップ環境にも侵入可能な点は、金融機関や重要インフラの事業者にとって深刻な脅威となる。

その他の機能

• Tor経由でのスクリーンショットの窃取
• C2からEVALレスポンスが返された場合、攻撃者提供の任意コードを実行可能

Microsoft Defender Expertsが推奨する対策と検出手法

Microsoft Defender Expertsは以下の対策を推奨している：

1. すべてのリムーバブルメディアのAutoRun/AutoPlayを無効化
2. グループポリシーでリムーバブルドライブからの.lnkファイル実行をブロック
3. wscript.exeおよびcscript.exeの不必要な使用を制限
4. 難読化されたスクリプト実行や不審な子プロセス動作に焦点を当てたAttack Surface Reductionルールを有効化
5. curl、PowerShell、cmd.exeを介したスクリプトからネットワークへの通信チェーンを調査
6. localhost:9050でのローカルSOCKS5プロキシアクティビティを積極的にハント
7. 機密性の高い金融ワークフローを扱うデバイスでは、クリップボード関連操作や画面キャプチャ動作を確認

2026年に急増するクリッパーマルウェアの全体像

CryptoBanditsキャンペーンは、2026年に報告された暗号資産クリッパー（クリップボードハイジャッカー）活動の一部である。主な関連事例は以下の通り：

これらの報告から、クリッパーマルウェアはWindowsスクリプト駆動ペイロード、Tor対応インフラ、USB経由の伝染、ソーシャルプラットフォーム経由の配布、Linux対応と、多岐にわたる攻撃ベクトルを展開していることがわかる。

日本のユーザーがとるべき対策

日本では暗号資産取引が活発で、特に個人投資家がコピー＆ペーストでアドレスを入力するケースが多い。以下の点を徹底してほしい：

• 送金前に必ずアドレスを目視確認 — コピー後、ペースト先で最初の数文字と最後の数文字だけでなく、全体を確認する習慣を
• USBメモリの取り扱いに注意 — 信頼できないUSBメモリをPCに挿さない。特にオフィスや共有スペースで見つかったUSBメモリは決して使用しない
• セキュリティソフトの最新状態を維持 — Windows Defender（Microsoft Defender）を最新に更新
• 不審な.lnkファイルを開かない — USBメモリ内のショートカットファイル（.lnk）は特に要注意
• localhost:9050の通信を監視 — 特に業務で暗号資産を取り扱う組織は、このポートへの通信を監視対象に

MicrosoftはCryptoBandits関連の検出を提供しており、Defenderユーザーは既に保護を受けている可能性が高い。しかし、最も効果的な防御はユーザー自身の注意と適切な運用習慣である。