Slik kaprer skadevaren kryptotransaksjoner

CryptoBandits kjører som en skriptbasert nyttelast gjennom Windows Script Host og ActiveXObject . Den kontrollerer utklippstavlen omtrent hvert 500. millisekund. Når brukeren kopierer en kryptoadresse, kan skadevaren erstatte adressen med en som kontrolleres av angriperne .

Mekanismen kan ramme adresser for blant annet Bitcoin, Ethereum, Tron og Monero. Brukeren kan dermed lime inn en adresse som ser ut til å være den riktige, uten å oppdage at den ble byttet ut i bakgrunnen. Skadevaren leter også etter mønstre som kan tilsvare seed phrases og private nøkler .

En seed phrase er rekken med ord som brukes til å gjenopprette tilgangen til en kryptolommebok. En privat nøkkel fungerer som et kryptografisk bevis på eierskap. Dersom slike opplysninger stjeles, kan konsekvensene bli langt mer alvorlige enn at én enkelt betaling sendes til feil adresse.

Tor skjuler kommunikasjonen

For å kommunisere med operatørene starter skadevaren en omdøpt Tor-binær, ugate.exe, i et skjult vindu. Den venter rundt 60 sekunder mens Tor settes opp, oppretter en unik GUID for offeret og registrerer den infiserte enheten mot en kommando- og kontrollserver på en skjult tjeneste .

Kommunikasjonen går gjennom en lokal Tor SOCKS5-proxy på localhost:9050 . Ved å bruke en slik lokal proxy kan skadevaren unngå mer tradisjonell infrastruktur basert på faste IP-adresser, noe som kan gjøre det vanskeligere å oppdage aktiviteten med enkle nettverksregler .

Skadevaren kan også laste opp skjermbilder via Tor. Dersom kontrollserveren svarer med EVAL, kan den i tillegg kjøre kode som angriperne leverer underveis .

USB gjør spredning mulig – også mellom adskilte systemer

Den første infeksjonen kan komme gjennom ondsinnede .lnk-filer på USB-lagring . En .lnk-fil er en Windows-snarvei, og i denne kampanjen brukes snarveien til å starte en ormkomponent. Komponenten undersøker først om maskinen allerede er infisert. Hvis ikke, henter den nyttelasten fra kontrollserveren gjennom Tor .

Dette gir skadevaren en ormaktig spredningsmekanisme. Når en infisert minnepinne flyttes fra én maskin til en annen, kan infeksjonen følge med videre. I miljøer som er fysisk eller logisk isolert fra internett – såkalte air-gapped-miljøer – kan USB-enheter dermed bli forbindelsen mellom ellers adskilte systemer .

Microsofts anbefalinger til forsvarere

Microsoft Defender Experts anbefaler flere konkrete tiltak og jaktspor for sikkerhetsteam :

• Deaktiver AutoRun og AutoPlay for alle flyttbare medier.
• Blokker kjøring av .lnk-filer fra flyttbare stasjoner gjennom Group Policy.
• Begrens unødvendig bruk av wscript.exe og cscript.exe.
• Aktiver Attack Surface Reduction-regler som retter seg mot obfuskerte skript og mistenkelig oppførsel fra underordnede prosesser.
• Undersøk kjeder der skript starter nettverksverktøy eller kommandotolker som curl, PowerShell eller cmd.exe.
• Let etter uvanlig SOCKS5-proxyaktivitet på localhost:9050.
• Følg med på utklippstavleaktivitet og skjermdumping på maskiner som brukes til sensitive økonomiske arbeidsprosesser.

For brukere er et enkelt, men viktig kontrollpunkt å alltid kontrollere hele mottakeradressen etter at den er limt inn – før en transaksjon godkjennes. En adresse som ble kopiert fra en pålitelig kilde, er ikke nødvendigvis den samme adressen som faktisk står i feltet.

CryptoBandits inngår i en større trend

Kampanjen er del av en bredere økning i rapportert aktivitet knyttet til kryptoklippere og annen utklippstavlekapring i 2026 . Denne typen skadevare trenger ikke nødvendigvis å bryte seg inn i selve kryptotjenesten. Den angriper i stedet arbeidsflyten rundt transaksjonen – særlig øyeblikket der en lommebokadresse kopieres og limes inn.

Andre rapporterte eksempler fra samme periode omfatter:

• CountLoader: En flerstegskampanje som bruker JavaScript, PowerShell og shellcode til å levere en kryptoklipper .
• Rust-baserte utklippstavlekaprere: Distribuert via phishing-sider, GitHub, SourceForge og manipulert YouTube-innhold .
• Python-baserte klippere: Spredd via Discord under navnene Pro.exe og peeek.exe .
• Linux-fokuserte klippere: Blant annet «ClipXDaemon», en autonom utklippstavlekaprer for X11-miljøer som ble identifisert i februar 2026 .

Samlet viser rapportene at kryptoklippere nå opptrer i flere former: som skriptbasert Windows-skadevare, med Tor-basert infrastruktur, via USB-spredning, gjennom sosiale plattformer og som Linux-verktøy som kaprer utklippstavlen .

Slik kaprer skadevaren kryptotransaksjoner

CryptoBandits kjører som en skriptbasert nyttelast gjennom Windows Script Host og ActiveXObject . Den kontrollerer utklippstavlen omtrent hvert 500. millisekund. Når brukeren kopierer en kryptoadresse, kan skadevaren erstatte adressen med en som kontrolleres av angriperne .

Mekanismen kan ramme adresser for blant annet Bitcoin, Ethereum, Tron og Monero. Brukeren kan dermed lime inn en adresse som ser ut til å være den riktige, uten å oppdage at den ble byttet ut i bakgrunnen. Skadevaren leter også etter mønstre som kan tilsvare seed phrases og private nøkler .

En seed phrase er rekken med ord som brukes til å gjenopprette tilgangen til en kryptolommebok. En privat nøkkel fungerer som et kryptografisk bevis på eierskap. Dersom slike opplysninger stjeles, kan konsekvensene bli langt mer alvorlige enn at én enkelt betaling sendes til feil adresse.

Tor skjuler kommunikasjonen

For å kommunisere med operatørene starter skadevaren en omdøpt Tor-binær, ugate.exe, i et skjult vindu. Den venter rundt 60 sekunder mens Tor settes opp, oppretter en unik GUID for offeret og registrerer den infiserte enheten mot en kommando- og kontrollserver på en skjult tjeneste .

Kommunikasjonen går gjennom en lokal Tor SOCKS5-proxy på localhost:9050 . Ved å bruke en slik lokal proxy kan skadevaren unngå mer tradisjonell infrastruktur basert på faste IP-adresser, noe som kan gjøre det vanskeligere å oppdage aktiviteten med enkle nettverksregler .

Skadevaren kan også laste opp skjermbilder via Tor. Dersom kontrollserveren svarer med EVAL, kan den i tillegg kjøre kode som angriperne leverer underveis .

USB gjør spredning mulig – også mellom adskilte systemer

Den første infeksjonen kan komme gjennom ondsinnede .lnk-filer på USB-lagring . En .lnk-fil er en Windows-snarvei, og i denne kampanjen brukes snarveien til å starte en ormkomponent. Komponenten undersøker først om maskinen allerede er infisert. Hvis ikke, henter den nyttelasten fra kontrollserveren gjennom Tor .

Dette gir skadevaren en ormaktig spredningsmekanisme. Når en infisert minnepinne flyttes fra én maskin til en annen, kan infeksjonen følge med videre. I miljøer som er fysisk eller logisk isolert fra internett – såkalte air-gapped-miljøer – kan USB-enheter dermed bli forbindelsen mellom ellers adskilte systemer .

Microsofts anbefalinger til forsvarere

Microsoft Defender Experts anbefaler flere konkrete tiltak og jaktspor for sikkerhetsteam :

• Deaktiver AutoRun og AutoPlay for alle flyttbare medier.
• Blokker kjøring av .lnk-filer fra flyttbare stasjoner gjennom Group Policy.
• Begrens unødvendig bruk av wscript.exe og cscript.exe.
• Aktiver Attack Surface Reduction-regler som retter seg mot obfuskerte skript og mistenkelig oppførsel fra underordnede prosesser.
• Undersøk kjeder der skript starter nettverksverktøy eller kommandotolker som curl, PowerShell eller cmd.exe.
• Let etter uvanlig SOCKS5-proxyaktivitet på localhost:9050.
• Følg med på utklippstavleaktivitet og skjermdumping på maskiner som brukes til sensitive økonomiske arbeidsprosesser.

For brukere er et enkelt, men viktig kontrollpunkt å alltid kontrollere hele mottakeradressen etter at den er limt inn – før en transaksjon godkjennes. En adresse som ble kopiert fra en pålitelig kilde, er ikke nødvendigvis den samme adressen som faktisk står i feltet.

CryptoBandits inngår i en større trend

Kampanjen er del av en bredere økning i rapportert aktivitet knyttet til kryptoklippere og annen utklippstavlekapring i 2026 . Denne typen skadevare trenger ikke nødvendigvis å bryte seg inn i selve kryptotjenesten. Den angriper i stedet arbeidsflyten rundt transaksjonen – særlig øyeblikket der en lommebokadresse kopieres og limes inn.

Andre rapporterte eksempler fra samme periode omfatter:

• CountLoader: En flerstegskampanje som bruker JavaScript, PowerShell og shellcode til å levere en kryptoklipper .
• Rust-baserte utklippstavlekaprere: Distribuert via phishing-sider, GitHub, SourceForge og manipulert YouTube-innhold .
• Python-baserte klippere: Spredd via Discord under navnene Pro.exe og peeek.exe .
• Linux-fokuserte klippere: Blant annet «ClipXDaemon», en autonom utklippstavlekaprer for X11-miljøer som ble identifisert i februar 2026 .

Samlet viser rapportene at kryptoklippere nå opptrer i flere former: som skriptbasert Windows-skadevare, med Tor-basert infrastruktur, via USB-spredning, gjennom sosiale plattformer og som Linux-verktøy som kaprer utklippstavlen .