CryptoBandits คืออะไร? มัลแวร์ที่ดักคลิปบอร์ด ขโมยคีย์คริปโต และแพร่ผ่าน USB

รูปแบบที่ถูกจับตามองครอบคลุมที่อยู่ของ Bitcoin, Ethereum, Tron, Monero และคริปโตเคอร์เรนซีอื่น ๆ นอกจากการสลับที่อยู่แล้ว มัลแวร์ยังพยายามดึง seed phrase ซึ่งเป็นชุดคำสำหรับกู้คืนกระเป๋าเงิน รวมถึง private key ที่ตรงกับรูปแบบเกี่ยวข้องกับกระเป๋าเงินด้วย

ซ่อนการสื่อสารผ่าน Tor และพอร์ต localhost:9050

CryptoBandits เปิดไบนารี Tor ที่เปลี่ยนชื่อเป็น ugate.exe ในหน้าต่างที่ซ่อนอยู่ จากนั้นรอประมาณ 60 วินาทีให้ Tor เริ่มทำงาน สร้าง GUID ประจำเหยื่อ และลงทะเบียนอุปกรณ์ที่ติดเชื้อกับเซิร์ฟเวอร์สั่งการและควบคุม หรือ C2 ที่ทำงานผ่าน hidden service

การสื่อสารกับ C2 จะวิ่งผ่านพร็อกซี Tor แบบ SOCKS5 ในเครื่องที่ localhost:9050 ช่วยให้โครงสร้างพื้นฐานของผู้โจมตีไม่ต้องพึ่งพาที่อยู่ IP แบบทั่วไปและทำให้การตรวจจับจากข้อมูลเครือข่ายแบบเดิมทำได้ยากขึ้น

แพร่ผ่าน USB ด้วยไฟล์ทางลัดอันตราย

การติดเชื้อระยะแรกเกิดขึ้นผ่านไฟล์ทางลัด .lnk ที่ถูกนำไปเผยแพร่บนอุปกรณ์เก็บข้อมูล USB เมื่อผู้ใช้เปิดไฟล์ทางลัดดังกล่าว มันจะเรียกส่วนประกอบแบบหนอนเพื่อตรวจสอบว่าคอมพิวเตอร์ติดเชื้ออยู่แล้วหรือไม่ หากยังไม่ติดเชื้อ ส่วนประกอบนี้จะดึงเพย์โหลดจาก C2 ผ่าน Tor

พฤติกรรมดังกล่าวอาจทำให้มัลแวร์เดินทางข้ามเครื่องผ่าน USB ได้ แม้ในสภาพแวดล้อมแบบ air-gapped ซึ่งแยกออกจากเครือข่ายภายนอก เพราะการนำไดรฟ์ที่ติดเชื้อไปเสียบกับคอมพิวเตอร์อีกเครื่องก็อาจเปิดทางให้การแพร่กระจายดำเนินต่อไป

เก็บภาพหน้าจอและรันโค้ดจากระยะไกล

นอกเหนือจากการขโมยข้อมูลคริปโต มัลแวร์ยังสามารถอัปโหลดภาพหน้าจอผ่าน Tor และเปิดให้ผู้โจมตีสั่งรันโค้ดที่ส่งมาในขณะทำงานได้ หาก C2 ตอบกลับด้วยคำสั่ง EVAL

Microsoft แนะนำให้ตรวจจับและลดความเสี่ยงอย่างไร

Microsoft Defender Experts แนะนำแนวทางลดความเสี่ยงและการค้นหาสัญญาณของการติดเชื้อดังนี้

• ปิด AutoRun และ AutoPlay สำหรับสื่อบันทึกข้อมูลแบบถอดออกได้ทั้งหมด
• ใช้ Group Policy เพื่อบล็อกการเรียกใช้ไฟล์ .lnk จากไดรฟ์แบบถอดออกได้
• จำกัดการใช้งาน wscript.exe และ cscript.exe ที่ไม่จำเป็น
• เปิดใช้กฎ Attack Surface Reduction ที่มุ่งตรวจจับการรันสคริปต์แบบถูกทำให้สับสนและพฤติกรรมโปรเซสลูกที่น่าสงสัย
• ตรวจสอบสายการทำงานที่เริ่มจากสคริปต์แล้วเชื่อมต่อเครือข่ายผ่าน curl, PowerShell หรือ cmd.exe
• ค้นหาการทำงานของพร็อกซี SOCKS5 ในเครื่อง โดยเฉพาะทราฟฟิกที่เกี่ยวข้องกับ localhost:9050
• ตรวจสอบพฤติกรรมการเข้าถึงคลิปบอร์ดและการจับภาพหน้าจอบนอุปกรณ์ที่ใช้กับงานการเงินหรือข้อมูลสำคัญ

สำหรับผู้ใช้ทั่วไป ควรตรวจสอบที่อยู่กระเป๋าเงินทุกครั้งหลังวางข้อมูลลงในแอปหรือหน้าโอนเงิน โดยเฉพาะก่อนกดยืนยันธุรกรรม เพราะการดูเพียงชื่อผู้รับหรือข้อมูลบางส่วนอาจไม่เพียงพอหากข้อมูลในคลิปบอร์ดถูกเปลี่ยนไปแล้ว

CryptoBandits เป็นส่วนหนึ่งของแนวโน้ม clipper ที่กว้างขึ้น

แคมเปญนี้สอดคล้องกับรายงานหลายฉบับเกี่ยวกับมัลแวร์ clipper และการยึดคลิปบอร์ดที่มุ่งขโมยคริปโตในปี 2026 ตัวอย่างที่ถูกรายงานในช่วงเวลาใกล้เคียง ได้แก่

• CountLoader แคมเปญหลายขั้นตอนที่ใช้ JavaScript, PowerShell และ shellcode เพื่อส่งเพย์โหลด clipper
• มัลแวร์ดักคลิปบอร์ดที่เขียนด้วย Rust ซึ่งเผยแพร่ผ่านหน้า phishing, GitHub, SourceForge และคอนเทนต์ YouTube ที่ถูกดัดแปลง
• clipper ที่เขียนด้วย Python ซึ่งเผยแพร่ผ่าน Discord ในชื่อ Pro.exe และ peeek.exe
• clipper ที่มุ่งเป้า Linux เช่น “ClipXDaemon” ซึ่งเป็นมัลแวร์ดักคลิปบอร์ดบนสภาพแวดล้อม X11 และถูกระบุในเดือนกุมภาพันธ์ 2026

เมื่อพิจารณาร่วมกัน รายงานเหล่านี้สะท้อนว่ามัลแวร์ clipper กำลังใช้หลายช่องทางมากขึ้น ตั้งแต่เพย์โหลดสคริปต์บน Windows โครงสร้างพื้นฐานที่สื่อสารผ่าน Tor การแพร่ผ่าน USB การกระจายผ่านแพลตฟอร์มออนไลน์ ไปจนถึงมัลแวร์ที่มุ่งเป้าระบบ Linux