Detalhes principais da campanha CryptoBandits

• Mecanismo de sequestro de clipboard: O malware executa um payload baseado em script via WScript e ActiveXObject . Ele monitora a área de transferência a cada 500 milissegundos, substituindo endereços de carteira copiados — como Bitcoin, Ethereum, Tron, Monero e outros — por endereços controlados pelo atacante . Também extrai seed phrases e chaves privadas que correspondam a padrões relacionados a carteiras .

• Evitação de C2 via Tor: O malware inicia um binário Tor renomeado (ugate.exe) em uma janela oculta, aguarda cerca de 60 segundos para o Tor inicializar, gera um GUID de vítima e registra o dispositivo infectado com um servidor de comando e controle (C2) oculto . A comunicação com o C2 ocorre através do proxy SOCKS5 do Tor em localhost:9050, ajudando a evitar a infraestrutura baseada em IP convencional .

• Propagação tipo worm via USB: A infecção inicial ocorre através de arquivos de atalho .lnk maliciosos distribuídos em dispositivos de armazenamento USB . O .lnk prepara um componente worm que verifica se há infecção existente e, se ausente, baixa o payload do C2 através do Tor . Esse mecanismo pode permitir que o malware se espalhe em ambientes offline quando unidades USB infectadas são movidas entre máquinas .

• Capacidades adicionais: O malware faz upload de capturas de tela (screenshots) através do Tor e pode executar código arbitrário fornecido pelo atacante em tempo de execução se o C2 retornar uma resposta EVAL .

Recomendações de detecção dos Especialistas em Defender da Microsoft

Os Especialistas em Defender da Microsoft recomendam as seguintes mitigações e etapas de caça a ameaças :

• Desabilitar AutoRun/AutoPlay para todas as mídias removíveis .
• Bloquear a execução de .lnk a partir de unidades removíveis via Política de Grupo .
• Restringir o uso desnecessário de wscript.exe e cscript.exe .
• Ativar regras de Redução de Superfície de Ataque focadas em execução de script ofuscado e comportamento suspeito de processos filho .
• Investigar cadeias de script para rede envolvendo curl, PowerShell ou cmd.exe .
• Caçar atividade de proxy SOCKS5 local em localhost:9050 .
• Revisar comportamentos relacionados à área de transferência e captura de tela em dispositivos que lidam com fluxos de trabalho financeiros sensíveis .

Contexto mais amplo: aumento da atividade de malware clipper em 2026

A campanha CryptoBandits se insere em um conjunto mais amplo de atividades relatadas de clipper de criptomoedas e sequestro de clipboard . Outras operações notáveis de clipper reportadas nesse período incluem:

• CountLoader: Uma campanha de múltiplos estágios usando JavaScript, PowerShell e shellcode para distribuir um payload clipper .
• Sequestradores de clipboard baseados em Rust: Distribuídos através de páginas de phishing, GitHub, SourceForge e conteúdo manipulado no YouTube .
• Clippers baseados em Python: Distribuídos via Discord como Pro.exe / peeek.exe .
• Clippers focados em Linux: Como o "ClipXDaemon", um sequestrador de clipboard autônomo para X11 identificado em fevereiro de 2026 .

Em conjunto, esses relatórios mostram atividade de malware clipper abrangendo payloads Windows orientados a script, infraestrutura habilitada por Tor, propagação baseada em USB, distribuição em plataformas sociais e sequestro de clipboard focado em Linux .

Detalhes principais da campanha CryptoBandits

• Mecanismo de sequestro de clipboard: O malware executa um payload baseado em script via WScript e ActiveXObject . Ele monitora a área de transferência a cada 500 milissegundos, substituindo endereços de carteira copiados — como Bitcoin, Ethereum, Tron, Monero e outros — por endereços controlados pelo atacante . Também extrai seed phrases e chaves privadas que correspondam a padrões relacionados a carteiras .

• Evitação de C2 via Tor: O malware inicia um binário Tor renomeado (ugate.exe) em uma janela oculta, aguarda cerca de 60 segundos para o Tor inicializar, gera um GUID de vítima e registra o dispositivo infectado com um servidor de comando e controle (C2) oculto . A comunicação com o C2 ocorre através do proxy SOCKS5 do Tor em localhost:9050, ajudando a evitar a infraestrutura baseada em IP convencional .

• Propagação tipo worm via USB: A infecção inicial ocorre através de arquivos de atalho .lnk maliciosos distribuídos em dispositivos de armazenamento USB . O .lnk prepara um componente worm que verifica se há infecção existente e, se ausente, baixa o payload do C2 através do Tor . Esse mecanismo pode permitir que o malware se espalhe em ambientes offline quando unidades USB infectadas são movidas entre máquinas .

• Capacidades adicionais: O malware faz upload de capturas de tela (screenshots) através do Tor e pode executar código arbitrário fornecido pelo atacante em tempo de execução se o C2 retornar uma resposta EVAL .

Recomendações de detecção dos Especialistas em Defender da Microsoft

Os Especialistas em Defender da Microsoft recomendam as seguintes mitigações e etapas de caça a ameaças :

• Desabilitar AutoRun/AutoPlay para todas as mídias removíveis .
• Bloquear a execução de .lnk a partir de unidades removíveis via Política de Grupo .
• Restringir o uso desnecessário de wscript.exe e cscript.exe .
• Ativar regras de Redução de Superfície de Ataque focadas em execução de script ofuscado e comportamento suspeito de processos filho .
• Investigar cadeias de script para rede envolvendo curl, PowerShell ou cmd.exe .
• Caçar atividade de proxy SOCKS5 local em localhost:9050 .
• Revisar comportamentos relacionados à área de transferência e captura de tela em dispositivos que lidam com fluxos de trabalho financeiros sensíveis .

Contexto mais amplo: aumento da atividade de malware clipper em 2026

A campanha CryptoBandits se insere em um conjunto mais amplo de atividades relatadas de clipper de criptomoedas e sequestro de clipboard . Outras operações notáveis de clipper reportadas nesse período incluem:

• CountLoader: Uma campanha de múltiplos estágios usando JavaScript, PowerShell e shellcode para distribuir um payload clipper .
• Sequestradores de clipboard baseados em Rust: Distribuídos através de páginas de phishing, GitHub, SourceForge e conteúdo manipulado no YouTube .
• Clippers baseados em Python: Distribuídos via Discord como Pro.exe / peeek.exe .
• Clippers focados em Linux: Como o "ClipXDaemon", um sequestrador de clipboard autônomo para X11 identificado em fevereiro de 2026 .

Em conjunto, esses relatórios mostram atividade de malware clipper abrangendo payloads Windows orientados a script, infraestrutura habilitada por Tor, propagação baseada em USB, distribuição em plataformas sociais e sequestro de clipboard focado em Linux .