Så fungerar CryptoBandits

Urklippet blir angreppspunkten

Skadlig kod av typen clipper övervakar det som kopieras till datorns urklipp. I den här kampanjen körs nyttolasten som ett skript via WScript och ActiveXObject . Den kontrollerar urklippet ungefär var 500:e millisekund och letar efter mönster som liknar kryptovalutaadresser.

När en adress hittas kan den ersättas med en adress som kontrolleras av angriparen. Det gäller bland annat adresser för Bitcoin, Ethereum, Tron och Monero, liksom andra kryptovalutor . Om användaren inte jämför adressen efter inklistring kan en planerad överföring därför skickas till fel plånbok.

Malwaret letar dessutom efter seed phrases – återställningsfraser som kan ge tillgång till en kryptoplånbok – samt privata nycklar som matchar plånboksrelaterade mönster .

Tor döljer kommunikationen

För att göra infrastrukturen svårare att upptäcka startar malwaret en omdöpt Tor-binär, ugate.exe, i ett dolt fönster . Efter ungefär 60 sekunder, när Tor har startat, skapas ett unikt GUID för offret och den infekterade datorn registreras mot en dold kommando- och kontrollserver.

Kommunikationen går via en lokal Tor SOCKS5-proxy på localhost:9050 . Genom att använda Tor behöver angriparna inte förlita sig på en vanlig, lättidentifierad IP-adress för sin styrning och kontroll.

USB-minnen kan sprida infektionen

Den första infektionen kan komma via skadliga .lnk-genvägar på USB-enheter . När genvägen öppnas startas en maskliknande komponent som först kontrollerar om datorn redan är infekterad. Om den inte är det hämtas nyttolasten från kommando- och kontrollservern via Tor .

Det innebär att ett infekterat USB-minne kan föra hotet vidare när det flyttas mellan datorer. I verksamheter där USB används för att överföra filer till isolerade system kan detta i praktiken skapa en bro över en annars avskild nätverksgräns .

Skärmdumpar och fjärrkörning

CryptoBandits kan även skicka skärmdumpar via Tor. Dessutom kan det köra kod som angriparen skickar under pågående drift, om kommando- och kontrollservern svarar med EVAL . Det ger angriparen fler möjligheter än att bara byta ut plånboksadresser.

Microsofts rekommendationer till försvarare

Microsoft Defender Experts rekommenderar flera åtgärder för att minska risken och hitta misstänkt aktivitet :

• Stäng av AutoRun och AutoPlay för alla flyttbara medier.
• Blockera körning av .lnk-filer från flyttbara enheter med hjälp av grupprinciper.
• Begränsa onödig användning av wscript.exe och cscript.exe.
• Aktivera Attack Surface Reduction-regler mot fördunklad skriptkörning och misstänkt beteende hos underordnade processer.
• Undersök kedjor där skript startar nätverksverktyg eller kommandoskal, exempelvis curl, PowerShell eller cmd.exe.
• Leta efter lokal SOCKS5-proxyaktivitet på localhost:9050.
• Granska urklippsåtkomst och skärmdumpsbeteende på datorer som används i känsliga ekonomiska arbetsflöden.

För användare är den enklaste kontrollen fortfarande att alltid jämföra hela plånboksadressen efter att den klistrats in – särskilt före större överföringar. En adress som ser rätt ut i början kan ändå ha bytts ut.

En del av en bredare clipper-våg

CryptoBandits är inte ett isolerat exempel. Rapporter från 2026 beskriver flera olika typer av kryptorelaterad clipper-malware och urklippskapare .

Bland de uppmärksammade fallen finns:

• CountLoader, en flerstegskampanj som använder JavaScript, PowerShell och shellcode för att leverera en clipper .
• Rustbaserade urklippskapare, som har spridits via nätfiskesidor, GitHub, SourceForge och manipulerat YouTube-innehåll .
• Pythonbaserade clippers, som har distribuerats via Discord under namnen Pro.exe och peeek.exe .
• Linuxinriktad malware, bland annat ”ClipXDaemon”, en autonom urklippskapare för X11-miljöer som identifierades i februari 2026 .

Sammantaget visar rapporterna hur hotet har breddats: från enkla program som byter ut en plånboksadress till kampanjer som kombinerar skript, dold Tor-kommunikation, skärmdumpar, stöld av återställningsuppgifter och spridning via USB .

Så fungerar CryptoBandits

Urklippet blir angreppspunkten

Skadlig kod av typen clipper övervakar det som kopieras till datorns urklipp. I den här kampanjen körs nyttolasten som ett skript via WScript och ActiveXObject . Den kontrollerar urklippet ungefär var 500:e millisekund och letar efter mönster som liknar kryptovalutaadresser.

När en adress hittas kan den ersättas med en adress som kontrolleras av angriparen. Det gäller bland annat adresser för Bitcoin, Ethereum, Tron och Monero, liksom andra kryptovalutor . Om användaren inte jämför adressen efter inklistring kan en planerad överföring därför skickas till fel plånbok.

Malwaret letar dessutom efter seed phrases – återställningsfraser som kan ge tillgång till en kryptoplånbok – samt privata nycklar som matchar plånboksrelaterade mönster .

Tor döljer kommunikationen

För att göra infrastrukturen svårare att upptäcka startar malwaret en omdöpt Tor-binär, ugate.exe, i ett dolt fönster . Efter ungefär 60 sekunder, när Tor har startat, skapas ett unikt GUID för offret och den infekterade datorn registreras mot en dold kommando- och kontrollserver.

Kommunikationen går via en lokal Tor SOCKS5-proxy på localhost:9050 . Genom att använda Tor behöver angriparna inte förlita sig på en vanlig, lättidentifierad IP-adress för sin styrning och kontroll.

USB-minnen kan sprida infektionen

Den första infektionen kan komma via skadliga .lnk-genvägar på USB-enheter . När genvägen öppnas startas en maskliknande komponent som först kontrollerar om datorn redan är infekterad. Om den inte är det hämtas nyttolasten från kommando- och kontrollservern via Tor .

Det innebär att ett infekterat USB-minne kan föra hotet vidare när det flyttas mellan datorer. I verksamheter där USB används för att överföra filer till isolerade system kan detta i praktiken skapa en bro över en annars avskild nätverksgräns .

Skärmdumpar och fjärrkörning

CryptoBandits kan även skicka skärmdumpar via Tor. Dessutom kan det köra kod som angriparen skickar under pågående drift, om kommando- och kontrollservern svarar med EVAL . Det ger angriparen fler möjligheter än att bara byta ut plånboksadresser.

Microsofts rekommendationer till försvarare

Microsoft Defender Experts rekommenderar flera åtgärder för att minska risken och hitta misstänkt aktivitet :

• Stäng av AutoRun och AutoPlay för alla flyttbara medier.
• Blockera körning av .lnk-filer från flyttbara enheter med hjälp av grupprinciper.
• Begränsa onödig användning av wscript.exe och cscript.exe.
• Aktivera Attack Surface Reduction-regler mot fördunklad skriptkörning och misstänkt beteende hos underordnade processer.
• Undersök kedjor där skript startar nätverksverktyg eller kommandoskal, exempelvis curl, PowerShell eller cmd.exe.
• Leta efter lokal SOCKS5-proxyaktivitet på localhost:9050.
• Granska urklippsåtkomst och skärmdumpsbeteende på datorer som används i känsliga ekonomiska arbetsflöden.

För användare är den enklaste kontrollen fortfarande att alltid jämföra hela plånboksadressen efter att den klistrats in – särskilt före större överföringar. En adress som ser rätt ut i början kan ändå ha bytts ut.

En del av en bredare clipper-våg

CryptoBandits är inte ett isolerat exempel. Rapporter från 2026 beskriver flera olika typer av kryptorelaterad clipper-malware och urklippskapare .

Bland de uppmärksammade fallen finns:

• CountLoader, en flerstegskampanj som använder JavaScript, PowerShell och shellcode för att leverera en clipper .
• Rustbaserade urklippskapare, som har spridits via nätfiskesidor, GitHub, SourceForge och manipulerat YouTube-innehåll .
• Pythonbaserade clippers, som har distribuerats via Discord under namnen Pro.exe och peeek.exe .
• Linuxinriktad malware, bland annat ”ClipXDaemon”, en autonom urklippskapare för X11-miljöer som identifierades i februari 2026 .

Sammantaget visar rapporterna hur hotet har breddats: från enkla program som byter ut en plånboksadress till kampanjer som kombinerar skript, dold Tor-kommunikation, skärmdumpar, stöld av återställningsuppgifter och spridning via USB .