CryptoBandits: Bagaimana Malware Ini Mengubah Alamat Dompet Kripto dan Merebak melalui USB

Microsoft pada 17 Jun 2026 mendedahkan kempen malware Windows yang aktif sejak Februari 2026 dan dikaitkan dengan pengesanan CryptoBandits . Malware jenis clipper ini menyasarkan transaksi mata wang kripto dengan memantau clipboard, mencuri frasa benih dan kunci peribadi, menggunakan proksi Tor untuk komunikasi serta merebak melalui pemacu USB .

Risikonya mudah terlepas pandang: pengguna mungkin menyalin alamat dompet yang betul, tetapi malware menggantikannya sebelum alamat itu ditampal ke aplikasi bursa atau dompet. Jika pengguna tidak menyemak semula alamat tersebut, transaksi boleh dihantar kepada penyerang.

Bagaimana CryptoBandits beroperasi

Alamat dompet dalam clipboard ditukar secara senyap

Muatan malware ini berasaskan skrip dan dijalankan melalui Windows Script Host serta ActiveXObject . Ia memeriksa clipboard kira-kira setiap 500 milisaat. Apabila menemui rentetan yang menyerupai alamat dompet kripto, malware akan menggantikannya dengan alamat yang dikawal penyerang.

Sasaran yang dikenal pasti termasuk alamat Bitcoin, Ethereum, Tron, Monero dan beberapa aset kripto lain . Malware ini turut mencari serta mengekstrak frasa benih dan kunci peribadi berdasarkan corak berkaitan dompet . Frasa benih ialah rangkaian perkataan yang boleh digunakan untuk memulihkan atau mengakses dompet kripto, manakala kunci peribadi digunakan untuk menandatangani transaksi.

Tor digunakan untuk menyukarkan pengesanan

CryptoBandits membawa bersama fail binari Tor yang telah dinamakan semula sebagai ugate.exe. Ia dilancarkan dalam tetingkap tersembunyi dan menunggu kira-kira 60 saat untuk proses Tor bermula . Selepas itu, malware menjana GUID mangsa dan mendaftarkan peranti yang dijangkiti dengan pelayan arahan dan kawalan, atau C2, yang menggunakan perkhidmatan tersembunyi Tor .

Komunikasi C2 melalui proksi SOCKS5 tempatan pada localhost:9050. Pendekatan ini membantu penyerang mengelakkan pergantungan pada infrastruktur berasaskan alamat IP biasa, sekali gus boleh menyukarkan usaha memburu sambungan mencurigakan .

USB menjadi laluan penyebaran ke komputer lain

Jangkitan awal boleh berlaku melalui fail pintasan .lnk yang disebarkan menggunakan peranti storan USB . Apabila pintasan berniat jahat itu dibuka, ia akan mencetuskan komponen seperti cecacing. Komponen tersebut menyemak sama ada komputer sudah dijangkiti dan, jika belum, mendapatkan muatan malware daripada C2 melalui Tor .

Keupayaan ini amat membimbangkan dalam persekitaran yang dianggap terasing daripada rangkaian, atau air-gapped. Pemacu USB yang dijangkiti boleh menjadi jambatan fizikal apabila dipindahkan antara komputer, membolehkan malware tersebar walaupun sistem berkenaan tidak mempunyai sambungan terus ke internet .

Tangkapan skrin dan pelaksanaan kod turut disokong

Selain mencuri atau mengubah data clipboard, malware ini boleh memuat naik tangkapan skrin melalui Tor . Ia juga boleh melaksanakan kod yang dibekalkan penyerang ketika runtime jika pelayan C2 memberikan respons EVAL . Keupayaan ini memberikan penyerang lebih banyak fleksibiliti selepas peranti berjaya dikuasai.

Cadangan pengesanan dan perlindungan

Microsoft Defender Experts mengesyorkan beberapa langkah mitigasi serta aktiviti pemburuan ancaman :

• Matikan AutoRun dan AutoPlay untuk semua media boleh alih.
• Sekat pelaksanaan fail .lnk daripada pemacu boleh alih menggunakan Group Policy.
• Hadkan penggunaan wscript.exe dan cscript.exe yang tidak diperlukan.
• Aktifkan peraturan Attack Surface Reduction yang menyasarkan pelaksanaan skrip tersamar serta tingkah laku proses anak yang mencurigakan.
• Siasat rantaian aktiviti yang bermula daripada jurubahasa skrip dan bersambung kepada curl, PowerShell atau cmd.exe.
• Buru aktiviti proksi SOCKS5 tempatan pada localhost:9050.
• Semak tingkah laku berkaitan clipboard dan tangkapan skrin pada peranti yang mengendalikan urusan kewangan sensitif.

Bagi pengguna biasa, langkah paling asas tetap penting: elakkan perisian daripada sumber tidak rasmi, jangan buka pintasan USB yang mencurigakan dan sentiasa semak beberapa aksara pertama serta terakhir alamat dompet selepas menampalnya sebelum mengesahkan transaksi.

CryptoBandits sebahagian daripada trend malware clipper yang lebih luas

Kempen ini muncul ketika semakin banyak operasi clipper dan perampasan clipboard kripto dilaporkan pada 2026 . Antara contoh yang dilaporkan ialah:

• CountLoader — kempen berbilang peringkat yang menggunakan JavaScript, PowerShell dan shellcode untuk menghantar muatan clipper .
• Perampas clipboard berasaskan Rust — diedarkan melalui halaman pancingan data, GitHub, SourceForge dan kandungan YouTube yang telah dimanipulasi .
• Clipper berasaskan Python — diedarkan melalui Discord dengan nama Pro.exe dan peeek.exe .
• Clipper yang menyasarkan Linux — termasuk “ClipXDaemon”, perampas clipboard X11 autonomi yang dikenal pasti pada Februari 2026 .

Kesemua laporan ini menunjukkan bahawa ancaman clipper tidak lagi terhad kepada satu kaedah jangkitan. Ia kini merangkumi muatan Windows berasaskan skrip, infrastruktur Tor, penyebaran melalui USB, pengedaran di platform sosial dan malware yang menyasarkan persekitaran Linux .