CryptoBandits kampanyası nasıl çalışıyor?

Kopyalanan cüzdan adreslerini değiştiriyor

Clipper türü zararlı yazılımlar, kullanıcının panoya kopyaladığı verileri izleyerek kripto para transferlerini hedefler. Bu kampanyadaki script tabanlı payload, Windows Script Host üzerinden WScript ve ActiveXObject kullanılarak çalıştırılıyor .

Zararlı yazılım panoyu yaklaşık her 500 milisaniyede bir kontrol ediyor. Bitcoin, Ethereum, Tron, Monero ve diğer kripto paraların cüzdan adresine benzeyen bir metin tespit ettiğinde, bu adresi saldırganların kontrolündeki başka bir adresle değiştiriyor . Kullanıcı adresi kopyalayıp bir uygulamaya yapıştırdığında değişikliği fark etmezse transfer yanlış cüzdana gidebiliyor.

Tehdit yalnızca cüzdan adresleriyle sınırlı değil. Yazılım, cüzdanlarla ilişkili kalıplara uyan seed phrase’leri ve özel anahtarları da arıyor . Seed phrase, kripto cüzdanına erişimi yeniden sağlayabilen kelime dizisidir; özel anahtar ise varlıklar üzerinde işlem yapma yetkisi verir. Bu bilgilerin ele geçirilmesi, cüzdan güvenliği açısından adres değişikliğinden çok daha ciddi sonuçlar doğurabilir.

Tor proxy’siyle iletişimi gizlemeye çalışıyor

Kampanya, komuta-kontrol yani C2 iletişimi için sistemle birlikte gelen bir Tor bileşeninden yararlanıyor. Zararlı yazılım, Tor ikilisini farklı bir adla (ugate.exe) gizli bir pencerede başlatıyor ve Tor’un çalışmaya başlaması için yaklaşık 60 saniye bekliyor .

Ardından kurban cihaz için bir GUID oluşturuyor ve cihazı gizli servis üzerinden çalışan C2 sunucusuna kaydediyor. İletişim, yerel Tor SOCKS5 proxy’si olan localhost:9050 üzerinden ilerliyor . Böylece saldırgan altyapısının geleneksel IP adresleri üzerinden izlenmesini zorlaştırmayı amaçlıyor.

Zararlı .lnk dosyaları USB üzerinden yayılıyor

İlk bulaşma, USB depolama aygıtlarında dağıtılan kötü amaçlı .lnk kısayol dosyalarıyla gerçekleşiyor . Kullanıcı bu kısayola tıkladığında solucan benzeri bileşen devreye giriyor; sistemde mevcut bir bulaşma olup olmadığını kontrol ediyor ve yoksa payload’ı Tor üzerinden C2 sunucusundan indiriyor .

Bu yöntem, fiziksel olarak taşınan USB bellekler üzerinden yayılım sağlıyor. Dolayısıyla internete doğrudan bağlı olmayan, başka bir deyişle air-gapped olarak izole edilmiş sistemler de bulaşmış bir USB’nin takılmasıyla risk altına girebiliyor .

Ekran görüntüsü alabiliyor ve uzaktan kod çalıştırabiliyor

Microsoft’un aktardığı ek yetenekler arasında ekran görüntülerini Tor üzerinden dışarı aktarmak da bulunuyor . Ayrıca C2 sunucusu EVAL yanıtı gönderdiğinde, saldırganların çalışma zamanında sağladığı kodu çalıştırabiliyor . Bu özellik, tehdidin yalnızca otomatik cüzdan adresi değiştiren bir clipper olmadığını; ele geçirilmiş sistemde farklı işlemler yapabilecek daha esnek bir yapı taşıdığını gösteriyor.

Microsoft Defender Experts hangi önlemleri öneriyor?

Microsoft Defender Experts, hem önleyici kontroller hem de davranış odaklı tehdit avcılığı için şu adımları öneriyor :

• Tüm çıkarılabilir medyada AutoRun ve AutoPlay özelliklerini devre dışı bırakın.
• Grup İlkesi üzerinden çıkarılabilir sürücülerdeki .lnk dosyalarının çalıştırılmasını engelleyin.
• Gereksiz durumlarda wscript.exe ve cscript.exe kullanımını kısıtlayın.
• Gizlenmiş script çalıştırma ve şüpheli alt süreç davranışlarına odaklanan Attack Surface Reduction kurallarını etkinleştirin.
• Script yorumlayıcılarından sonra curl, PowerShell veya cmd.exe ile kurulan şüpheli ağ bağlantılarını inceleyin.
• localhost:9050 üzerinde yerel SOCKS5 proxy etkinliği arayın.
• Hassas finansal işlemlerin yürütüldüğü cihazlarda pano erişimi ve ekran görüntüsü alma davranışlarını gözden geçirin .

Özellikle güvenlik ekipleri için tek bir dosya adına veya imzaya güvenmek yerine süreç zincirlerini izlemek önemli. Windows Script Host’un şüpheli alt süreçler başlatması, kısa süre sonra yerel bir SOCKS5 proxy oluşturulması ve pano hareketlerinin yoğunlaşması birlikte değerlendirilebilecek davranışsal sinyaller arasında yer alıyor .

2026’da clipper tehdidi neden büyüyor?

CryptoBandits kampanyası, 2026’da raporlanan daha geniş bir kripto para clipper ve clipboard hijacking dalgasının parçası olarak değerlendiriliyor . Bu saldırıların ortak noktası, kullanıcının transfer sırasında kopyala-yapıştır kolaylığından yararlanarak adresi fark ettirmeden değiştirmeleri.

Aynı dönemde bildirilen diğer örnekler arasında şunlar bulunuyor:

• CountLoader: JavaScript, PowerShell ve shellcode kullanan çok aşamalı bir zincirle clipper payload’ı dağıtan kampanya .
• Rust tabanlı clipboard hijacker’lar: Phishing sayfaları, GitHub, SourceForge ve manipüle edilmiş YouTube içerikleri üzerinden dağıtılan örnekler .
• Python tabanlı clipper’lar: Discord üzerinden Pro.exe ve peeek.exe adlarıyla yayılan zararlı yazılımlar .
• Linux odaklı clipper’lar: Şubat 2026’da tespit edilen, X11 ortamlarını hedefleyen otonom clipboard hijacker “ClipXDaemon” .

Bu tablo, kripto hırsızlığı tehdidinin tek bir işletim sistemi veya bulaşma yöntemiyle sınırlı kalmadığını gösteriyor. Windows script’leri, Tor destekli altyapı, USB tabanlı yayılım, sosyal platformlar ve Linux masaüstü ortamları aynı genel eğilimin farklı yüzleri olarak öne çıkıyor .

Kripto para transferlerinde en basit görünen güvenlik adımı ise hâlâ kritik: Adresi yapıştırdıktan sonra işlemi onaylamadan önce, özellikle ilk ve son karakterleri değil, mümkünse adresin tamamını cüzdan veya borsa arayüzünde yeniden kontrol etmek. Ancak CryptoBandits örneğinde bu kontrol tek başına yeterli değil; cihazın script çalıştırma davranışları, USB politikaları ve yerel Tor trafiği de kurum genelinde izlenmeli.

CryptoBandits kampanyası nasıl çalışıyor?

Kopyalanan cüzdan adreslerini değiştiriyor

Clipper türü zararlı yazılımlar, kullanıcının panoya kopyaladığı verileri izleyerek kripto para transferlerini hedefler. Bu kampanyadaki script tabanlı payload, Windows Script Host üzerinden WScript ve ActiveXObject kullanılarak çalıştırılıyor .

Zararlı yazılım panoyu yaklaşık her 500 milisaniyede bir kontrol ediyor. Bitcoin, Ethereum, Tron, Monero ve diğer kripto paraların cüzdan adresine benzeyen bir metin tespit ettiğinde, bu adresi saldırganların kontrolündeki başka bir adresle değiştiriyor . Kullanıcı adresi kopyalayıp bir uygulamaya yapıştırdığında değişikliği fark etmezse transfer yanlış cüzdana gidebiliyor.

Tehdit yalnızca cüzdan adresleriyle sınırlı değil. Yazılım, cüzdanlarla ilişkili kalıplara uyan seed phrase’leri ve özel anahtarları da arıyor . Seed phrase, kripto cüzdanına erişimi yeniden sağlayabilen kelime dizisidir; özel anahtar ise varlıklar üzerinde işlem yapma yetkisi verir. Bu bilgilerin ele geçirilmesi, cüzdan güvenliği açısından adres değişikliğinden çok daha ciddi sonuçlar doğurabilir.

Tor proxy’siyle iletişimi gizlemeye çalışıyor

Kampanya, komuta-kontrol yani C2 iletişimi için sistemle birlikte gelen bir Tor bileşeninden yararlanıyor. Zararlı yazılım, Tor ikilisini farklı bir adla (ugate.exe) gizli bir pencerede başlatıyor ve Tor’un çalışmaya başlaması için yaklaşık 60 saniye bekliyor .

Ardından kurban cihaz için bir GUID oluşturuyor ve cihazı gizli servis üzerinden çalışan C2 sunucusuna kaydediyor. İletişim, yerel Tor SOCKS5 proxy’si olan localhost:9050 üzerinden ilerliyor . Böylece saldırgan altyapısının geleneksel IP adresleri üzerinden izlenmesini zorlaştırmayı amaçlıyor.

Zararlı .lnk dosyaları USB üzerinden yayılıyor

İlk bulaşma, USB depolama aygıtlarında dağıtılan kötü amaçlı .lnk kısayol dosyalarıyla gerçekleşiyor . Kullanıcı bu kısayola tıkladığında solucan benzeri bileşen devreye giriyor; sistemde mevcut bir bulaşma olup olmadığını kontrol ediyor ve yoksa payload’ı Tor üzerinden C2 sunucusundan indiriyor .

Bu yöntem, fiziksel olarak taşınan USB bellekler üzerinden yayılım sağlıyor. Dolayısıyla internete doğrudan bağlı olmayan, başka bir deyişle air-gapped olarak izole edilmiş sistemler de bulaşmış bir USB’nin takılmasıyla risk altına girebiliyor .

Ekran görüntüsü alabiliyor ve uzaktan kod çalıştırabiliyor

Microsoft’un aktardığı ek yetenekler arasında ekran görüntülerini Tor üzerinden dışarı aktarmak da bulunuyor . Ayrıca C2 sunucusu EVAL yanıtı gönderdiğinde, saldırganların çalışma zamanında sağladığı kodu çalıştırabiliyor . Bu özellik, tehdidin yalnızca otomatik cüzdan adresi değiştiren bir clipper olmadığını; ele geçirilmiş sistemde farklı işlemler yapabilecek daha esnek bir yapı taşıdığını gösteriyor.

Microsoft Defender Experts hangi önlemleri öneriyor?

Microsoft Defender Experts, hem önleyici kontroller hem de davranış odaklı tehdit avcılığı için şu adımları öneriyor :

• Tüm çıkarılabilir medyada AutoRun ve AutoPlay özelliklerini devre dışı bırakın.
• Grup İlkesi üzerinden çıkarılabilir sürücülerdeki .lnk dosyalarının çalıştırılmasını engelleyin.
• Gereksiz durumlarda wscript.exe ve cscript.exe kullanımını kısıtlayın.
• Gizlenmiş script çalıştırma ve şüpheli alt süreç davranışlarına odaklanan Attack Surface Reduction kurallarını etkinleştirin.
• Script yorumlayıcılarından sonra curl, PowerShell veya cmd.exe ile kurulan şüpheli ağ bağlantılarını inceleyin.
• localhost:9050 üzerinde yerel SOCKS5 proxy etkinliği arayın.
• Hassas finansal işlemlerin yürütüldüğü cihazlarda pano erişimi ve ekran görüntüsü alma davranışlarını gözden geçirin .

Özellikle güvenlik ekipleri için tek bir dosya adına veya imzaya güvenmek yerine süreç zincirlerini izlemek önemli. Windows Script Host’un şüpheli alt süreçler başlatması, kısa süre sonra yerel bir SOCKS5 proxy oluşturulması ve pano hareketlerinin yoğunlaşması birlikte değerlendirilebilecek davranışsal sinyaller arasında yer alıyor .

2026’da clipper tehdidi neden büyüyor?

CryptoBandits kampanyası, 2026’da raporlanan daha geniş bir kripto para clipper ve clipboard hijacking dalgasının parçası olarak değerlendiriliyor . Bu saldırıların ortak noktası, kullanıcının transfer sırasında kopyala-yapıştır kolaylığından yararlanarak adresi fark ettirmeden değiştirmeleri.

Aynı dönemde bildirilen diğer örnekler arasında şunlar bulunuyor:

• CountLoader: JavaScript, PowerShell ve shellcode kullanan çok aşamalı bir zincirle clipper payload’ı dağıtan kampanya .
• Rust tabanlı clipboard hijacker’lar: Phishing sayfaları, GitHub, SourceForge ve manipüle edilmiş YouTube içerikleri üzerinden dağıtılan örnekler .
• Python tabanlı clipper’lar: Discord üzerinden Pro.exe ve peeek.exe adlarıyla yayılan zararlı yazılımlar .
• Linux odaklı clipper’lar: Şubat 2026’da tespit edilen, X11 ortamlarını hedefleyen otonom clipboard hijacker “ClipXDaemon” .

Bu tablo, kripto hırsızlığı tehdidinin tek bir işletim sistemi veya bulaşma yöntemiyle sınırlı kalmadığını gösteriyor. Windows script’leri, Tor destekli altyapı, USB tabanlı yayılım, sosyal platformlar ve Linux masaüstü ortamları aynı genel eğilimin farklı yüzleri olarak öne çıkıyor .

Kripto para transferlerinde en basit görünen güvenlik adımı ise hâlâ kritik: Adresi yapıştırdıktan sonra işlemi onaylamadan önce, özellikle ilk ve son karakterleri değil, mümkünse adresin tamamını cüzdan veya borsa arayüzünde yeniden kontrol etmek. Ancak CryptoBandits örneğinde bu kontrol tek başına yeterli değil; cihazın script çalıştırma davranışları, USB politikaları ve yerel Tor trafiği de kurum genelinde izlenmeli.