Jak działa kampania CryptoBandits?

Podmiana adresów w schowku

Malware uruchamia skryptowy ładunek za pomocą Windows Script Host i ActiveXObject . Następnie regularnie sprawdza zawartość schowka — mniej więcej co 500 milisekund. Gdy wykryje ciąg przypominający adres portfela kryptowalutowego, zastępuje go adresem należącym do atakujących .

Mechanizm może dotyczyć między innymi adresów Bitcoin, Ethereum, Tron i Monero. Użytkownik może więc skopiować poprawny adres odbiorcy, wkleić go w aplikacji giełdy lub portfela, a następnie nieświadomie wysłać środki na rachunek cyberprzestępców. Malware potrafi również wyszukiwać frazy seed oraz klucze prywatne pasujące do wzorców związanych z portfelami .

Tor ukrywa komunikację z serwerem sterującym

Kampania wykorzystuje dołączony, przemianowany plik Tor — ugate.exe — uruchamiany w ukrytym oknie . Po uruchomieniu komponent czeka około 60 sekund na zestawienie połączenia z siecią Tor, generuje identyfikator GUID ofiary i rejestruje zainfekowane urządzenie na serwerze command and control działającym jako ukryta usługa .

Komunikacja przechodzi przez lokalny serwer SOCKS5 pod adresem localhost:9050. Dzięki temu infrastruktura kampanii nie musi opierać się na łatwych do zablokowania, konwencjonalnych adresach IP . Sama obecność Tor Browsera nie oznacza infekcji — istotny jest kontekst, w którym proces Tor pojawia się wraz z podejrzanymi skryptami, procesami potomnymi i ruchem sieciowym.

Zainfekowane pendrive’y mogą przenosić zagrożenie

Początkowa infekcja może nastąpić za pośrednictwem złośliwych plików skrótów .lnk zapisanych na nośniku USB . Skrót uruchamia komponent robaka, który sprawdza, czy komputer jest już zainfekowany. Jeśli nie, pobiera właściwy ładunek z serwera sterującego przez sieć Tor .

W praktyce oznacza to możliwość przenoszenia infekcji między komputerami za pomocą zainfekowanych pendrive’ów. Zagrożenie może dotyczyć także środowisk odizolowanych od internetu, tzw. air-gapped, jeśli nośniki USB są przenoszone między takimi maszynami a innymi urządzeniami .

Zrzuty ekranu i wykonywanie kodu

Możliwości malware wykraczają poza kradzież kryptowalut. Kampania potrafi przesyłać zrzuty ekranu przez Tor, a także wykonywać dowolny kod dostarczony przez atakujących, jeśli serwer sterujący zwróci odpowiedź EVAL . To zwiększa ryzyko dla urządzeń wykorzystywanych nie tylko do obsługi portfeli, lecz także do pracy z danymi finansowymi i danymi uwierzytelniającymi.

Co zalecają eksperci Microsoft Defender?

Microsoft Defender Experts wskazują na kilka działań ograniczających ryzyko i ułatwiających polowanie na ślady kampanii :

• wyłącz AutoRun i AutoPlay dla wszystkich nośników wymiennych;
• zablokuj uruchamianie plików .lnk z dysków wymiennych za pomocą zasad grupy;
• ogranicz niepotrzebne użycie wscript.exe i cscript.exe;
• włącz reguły Attack Surface Reduction dotyczące wykonywania zaciemnionych skryptów i podejrzanych procesów potomnych;
• analizuj łańcuchy, w których interpreter skryptów uruchamia połączenia sieciowe lub narzędzia takie jak curl, PowerShell albo cmd.exe;
• wyszukuj aktywność lokalnego serwera SOCKS5 pod adresem localhost:9050;
• sprawdzaj nietypowe zachowania związane ze schowkiem i przechwytywaniem ekranu na komputerach używanych w wrażliwych procesach finansowych .

W przypadku transakcji kryptowalutowych warto także ręcznie porównywać cały adres po wklejeniu, a nie zakładać, że zawartość schowka pozostała niezmieniona. Jest to podstawowa kontrola użytkownika, ale nie zastępuje ochrony urządzenia, zasad grupy ani monitoringu prowadzonego przez administratorów.

CryptoBandits na tle innych clipperów w 2026 roku

Opisana kampania wpisuje się w szerszy wzrost aktywności malware typu clipper, czyli złośliwego oprogramowania przechwytującego i modyfikującego dane w schowku . W podobnym okresie opisywano między innymi:

• CountLoader — wieloetapową kampanię wykorzystującą JavaScript, PowerShell i shellcode do dostarczania clippera ;
• clippery napisane w Rust — rozpowszechniane za pośrednictwem stron phishingowych, GitHuba, SourceForge’a i zmanipulowanych materiałów na YouTube ;
• clippery oparte na Pythonie — dystrybuowane przez Discorda jako Pro.exe lub peeek.exe ;
• clippery wymierzone w Linuksa, takie jak „ClipXDaemon” — autonomiczny hijacker schowka X11 zidentyfikowany w lutym 2026 roku .

Zestawienie tych doniesień pokazuje, że zagrożenie rozwija się na kilku frontach: od skryptowych ładunków dla Windows, przez infrastrukturę opartą na Torze i infekcje przenoszone na USB, po dystrybucję w mediach społecznościowych oraz ataki na środowiska linuksowe . Dla użytkownika najważniejszy wniosek jest prosty: przy każdej transakcji trzeba zweryfikować wklejony adres, a administratorzy powinni traktować nietypowe zachowanie skryptów, nośników wymiennych i lokalnych połączeń na porcie 9050 jako sygnały wymagające sprawdzenia.

Jak działa kampania CryptoBandits?

Podmiana adresów w schowku

Malware uruchamia skryptowy ładunek za pomocą Windows Script Host i ActiveXObject . Następnie regularnie sprawdza zawartość schowka — mniej więcej co 500 milisekund. Gdy wykryje ciąg przypominający adres portfela kryptowalutowego, zastępuje go adresem należącym do atakujących .

Mechanizm może dotyczyć między innymi adresów Bitcoin, Ethereum, Tron i Monero. Użytkownik może więc skopiować poprawny adres odbiorcy, wkleić go w aplikacji giełdy lub portfela, a następnie nieświadomie wysłać środki na rachunek cyberprzestępców. Malware potrafi również wyszukiwać frazy seed oraz klucze prywatne pasujące do wzorców związanych z portfelami .

Tor ukrywa komunikację z serwerem sterującym

Kampania wykorzystuje dołączony, przemianowany plik Tor — ugate.exe — uruchamiany w ukrytym oknie . Po uruchomieniu komponent czeka około 60 sekund na zestawienie połączenia z siecią Tor, generuje identyfikator GUID ofiary i rejestruje zainfekowane urządzenie na serwerze command and control działającym jako ukryta usługa .

Komunikacja przechodzi przez lokalny serwer SOCKS5 pod adresem localhost:9050. Dzięki temu infrastruktura kampanii nie musi opierać się na łatwych do zablokowania, konwencjonalnych adresach IP . Sama obecność Tor Browsera nie oznacza infekcji — istotny jest kontekst, w którym proces Tor pojawia się wraz z podejrzanymi skryptami, procesami potomnymi i ruchem sieciowym.

Zainfekowane pendrive’y mogą przenosić zagrożenie

Początkowa infekcja może nastąpić za pośrednictwem złośliwych plików skrótów .lnk zapisanych na nośniku USB . Skrót uruchamia komponent robaka, który sprawdza, czy komputer jest już zainfekowany. Jeśli nie, pobiera właściwy ładunek z serwera sterującego przez sieć Tor .

W praktyce oznacza to możliwość przenoszenia infekcji między komputerami za pomocą zainfekowanych pendrive’ów. Zagrożenie może dotyczyć także środowisk odizolowanych od internetu, tzw. air-gapped, jeśli nośniki USB są przenoszone między takimi maszynami a innymi urządzeniami .

Zrzuty ekranu i wykonywanie kodu

Możliwości malware wykraczają poza kradzież kryptowalut. Kampania potrafi przesyłać zrzuty ekranu przez Tor, a także wykonywać dowolny kod dostarczony przez atakujących, jeśli serwer sterujący zwróci odpowiedź EVAL . To zwiększa ryzyko dla urządzeń wykorzystywanych nie tylko do obsługi portfeli, lecz także do pracy z danymi finansowymi i danymi uwierzytelniającymi.

Co zalecają eksperci Microsoft Defender?

Microsoft Defender Experts wskazują na kilka działań ograniczających ryzyko i ułatwiających polowanie na ślady kampanii :

• wyłącz AutoRun i AutoPlay dla wszystkich nośników wymiennych;
• zablokuj uruchamianie plików .lnk z dysków wymiennych za pomocą zasad grupy;
• ogranicz niepotrzebne użycie wscript.exe i cscript.exe;
• włącz reguły Attack Surface Reduction dotyczące wykonywania zaciemnionych skryptów i podejrzanych procesów potomnych;
• analizuj łańcuchy, w których interpreter skryptów uruchamia połączenia sieciowe lub narzędzia takie jak curl, PowerShell albo cmd.exe;
• wyszukuj aktywność lokalnego serwera SOCKS5 pod adresem localhost:9050;
• sprawdzaj nietypowe zachowania związane ze schowkiem i przechwytywaniem ekranu na komputerach używanych w wrażliwych procesach finansowych .

W przypadku transakcji kryptowalutowych warto także ręcznie porównywać cały adres po wklejeniu, a nie zakładać, że zawartość schowka pozostała niezmieniona. Jest to podstawowa kontrola użytkownika, ale nie zastępuje ochrony urządzenia, zasad grupy ani monitoringu prowadzonego przez administratorów.

CryptoBandits na tle innych clipperów w 2026 roku

Opisana kampania wpisuje się w szerszy wzrost aktywności malware typu clipper, czyli złośliwego oprogramowania przechwytującego i modyfikującego dane w schowku . W podobnym okresie opisywano między innymi:

• CountLoader — wieloetapową kampanię wykorzystującą JavaScript, PowerShell i shellcode do dostarczania clippera ;
• clippery napisane w Rust — rozpowszechniane za pośrednictwem stron phishingowych, GitHuba, SourceForge’a i zmanipulowanych materiałów na YouTube ;
• clippery oparte na Pythonie — dystrybuowane przez Discorda jako Pro.exe lub peeek.exe ;
• clippery wymierzone w Linuksa, takie jak „ClipXDaemon” — autonomiczny hijacker schowka X11 zidentyfikowany w lutym 2026 roku .

Zestawienie tych doniesień pokazuje, że zagrożenie rozwija się na kilku frontach: od skryptowych ładunków dla Windows, przez infrastrukturę opartą na Torze i infekcje przenoszone na USB, po dystrybucję w mediach społecznościowych oraz ataki na środowiska linuksowe . Dla użytkownika najważniejszy wniosek jest prosty: przy każdej transakcji trzeba zweryfikować wklejony adres, a administratorzy powinni traktować nietypowe zachowanie skryptów, nośników wymiennych i lokalnych połączeń na porcie 9050 jako sygnały wymagające sprawdzenia.