Как работает CryptoBandits

• Перехват буфера обмена: Вредонос запускается через WScript (Windows Script Host) и ActiveXObject . Он проверяет содержимое буфера обмена каждые 500 миллисекунд. Если обнаруживается скопированный адрес криптокошелька (Bitcoin, Ethereum, Tron, Monero и другие), он мгновенно заменяется на адрес злоумышленника . Кроме того, программа ищет в буфере seed-фразы (мнемонические фразы для восстановления кошелька) и приватные ключи, соответствующие определенным шаблонам .

• Связь с сервером управления через Tor: Вредонос запускает переименованный Tor-бинарник (ugate.exe) в скрытом окне. После загрузки сети Tor (около 60 секунд) он генерирует уникальный идентификатор жертвы (GUID) и регистрирует зараженное устройство на скрытом сервере управления (hidden service) . Вся связь идет через локальный SOCKS5-прокси на localhost:9050. Это позволяет избежать обнаружения по IP-адресам и традиционным методам анализа трафика .

• Распространение через USB: Изначальное заражение происходит через вредоносные файлы .lnk (ярлыки Windows), которые могут быть записаны на USB-накопитель . Ярлык запускает компонент-«червь», который проверяет, не заражена ли система. Если система чиста, он скачивает основную вредоносную нагрузку с сервера управления через Tor . Благодаря этому механизму зловред может проникать в изолированные системы (air-gapped), которые не имеют прямого выхода в интернет: достаточно подключить зараженную флешку к такой системе .

• Дополнительные возможности: Вредонос может делать скриншоты экрана и отправлять их на сервер управления через Tor. Если сервер возвращает команду EVAL, зловред выполняет произвольный код, полученный от злоумышленников .

Как защититься: рекомендации экспертов Microsoft Defender

Эксперты Microsoft Defender рекомендуют следующий набор мер :

• Отключите автозапуск (AutoRun/AutoPlay) для всех съемных носителей .
• Заблокируйте выполнение .lnk-файлов с USB-накопителей через групповые политики .
• Ограничьте использование wscript.exe и cscript.exe там, где это не требуется .
• Включите правила сокращения поверхности атак (Attack Surface Reduction), нацеленные на замаскированные скрипты и подозрительное поведение дочерних процессов .
• Проверяйте цепочки «скрипт → сеть» с участием curl, PowerShell или cmd.exe .
• Охотитесь за трафиком на локальный SOCKS5-прокси (localhost:9050) .
• Пересмотрите поведение, связанное с буфером обмена и созданием скриншотов, на устройствах, работающих с финансовыми операциями .

Более широкая картина: рост активности клиппер-вредоносов в 2026 году

Кампания CryptoBandits — не единичный случай. Она является частью более масштабной тенденции . Среди других заметных кампаний, о которых сообщалось примерно в тот же период:

• CountLoader: Многоступенчатая кампания, использующая JavaScript, PowerShell и shellcode для доставки вредоносной нагрузки-клиппера .
• Клипперы на Rust: Распространяются через фишинговые страницы, GitHub, SourceForge и поддельные видео на YouTube .
• Клипперы на Python: Распространяются через Discord под видом файлов Pro.exe / peeek.exe .
• Клипперы для Linux: Например, «ClipXDaemon» — автономный перехватчик буфера обмена для X11, обнаруженный в феврале 2026 года .

Все эти сообщения демонстрируют, что атаки с использованием клиппер-вредоносов охватывают Windows-системы с использованием скриптов, инфраструктуру на базе Tor, распространение через USB, социальные платформы и даже Linux-системы .

Как работает CryptoBandits

• Перехват буфера обмена: Вредонос запускается через WScript (Windows Script Host) и ActiveXObject . Он проверяет содержимое буфера обмена каждые 500 миллисекунд. Если обнаруживается скопированный адрес криптокошелька (Bitcoin, Ethereum, Tron, Monero и другие), он мгновенно заменяется на адрес злоумышленника . Кроме того, программа ищет в буфере seed-фразы (мнемонические фразы для восстановления кошелька) и приватные ключи, соответствующие определенным шаблонам .

• Связь с сервером управления через Tor: Вредонос запускает переименованный Tor-бинарник (ugate.exe) в скрытом окне. После загрузки сети Tor (около 60 секунд) он генерирует уникальный идентификатор жертвы (GUID) и регистрирует зараженное устройство на скрытом сервере управления (hidden service) . Вся связь идет через локальный SOCKS5-прокси на localhost:9050. Это позволяет избежать обнаружения по IP-адресам и традиционным методам анализа трафика .

• Распространение через USB: Изначальное заражение происходит через вредоносные файлы .lnk (ярлыки Windows), которые могут быть записаны на USB-накопитель . Ярлык запускает компонент-«червь», который проверяет, не заражена ли система. Если система чиста, он скачивает основную вредоносную нагрузку с сервера управления через Tor . Благодаря этому механизму зловред может проникать в изолированные системы (air-gapped), которые не имеют прямого выхода в интернет: достаточно подключить зараженную флешку к такой системе .

• Дополнительные возможности: Вредонос может делать скриншоты экрана и отправлять их на сервер управления через Tor. Если сервер возвращает команду EVAL, зловред выполняет произвольный код, полученный от злоумышленников .

Как защититься: рекомендации экспертов Microsoft Defender

Эксперты Microsoft Defender рекомендуют следующий набор мер :

• Отключите автозапуск (AutoRun/AutoPlay) для всех съемных носителей .
• Заблокируйте выполнение .lnk-файлов с USB-накопителей через групповые политики .
• Ограничьте использование wscript.exe и cscript.exe там, где это не требуется .
• Включите правила сокращения поверхности атак (Attack Surface Reduction), нацеленные на замаскированные скрипты и подозрительное поведение дочерних процессов .
• Проверяйте цепочки «скрипт → сеть» с участием curl, PowerShell или cmd.exe .
• Охотитесь за трафиком на локальный SOCKS5-прокси (localhost:9050) .
• Пересмотрите поведение, связанное с буфером обмена и созданием скриншотов, на устройствах, работающих с финансовыми операциями .

Более широкая картина: рост активности клиппер-вредоносов в 2026 году

Кампания CryptoBandits — не единичный случай. Она является частью более масштабной тенденции . Среди других заметных кампаний, о которых сообщалось примерно в тот же период:

• CountLoader: Многоступенчатая кампания, использующая JavaScript, PowerShell и shellcode для доставки вредоносной нагрузки-клиппера .
• Клипперы на Rust: Распространяются через фишинговые страницы, GitHub, SourceForge и поддельные видео на YouTube .
• Клипперы на Python: Распространяются через Discord под видом файлов Pro.exe / peeek.exe .
• Клипперы для Linux: Например, «ClipXDaemon» — автономный перехватчик буфера обмена для X11, обнаруженный в феврале 2026 года .

Все эти сообщения демонстрируют, что атаки с использованием клиппер-вредоносов охватывают Windows-системы с использованием скриптов, инфраструктуру на базе Tor, распространение через USB, социальные платформы и даже Linux-системы .