Як CryptoBandits краде криптовалюту

Підміна адрес у буфері обміну

Шкідник запускається як скриптове навантаження через Windows Script Host і ActiveXObject . Приблизно кожні 500 мілісекунд він перевіряє буфер обміну. Якщо користувач копіює адресу криптогаманця, програма може непомітно замінити її на адресу, контрольовану зловмисниками .

Механізм розпізнає адреси різних мереж і валют, зокрема Bitcoin, Ethereum, Tron та Monero. Окрім адрес, CryptoBandits шукає в скопійованому тексті seed-фрази й приватні ключі за шаблонами, пов’язаними з криптогаманцями .

Саме тому після вставлення адреси перед підтвердженням переказу важливо звіряти її повністю, а не покладатися лише на перші чи останні символи.

Tor замість звичайної інфраструктури командування

Для зв’язку з операторами шкідник запускає перейменований виконуваний файл Tor — ugate.exe — у прихованому вікні. Після цього він очікує близько 60 секунд, поки Tor ініціалізується, створює унікальний ідентифікатор зараженого пристрою та реєструє його на сервері командування й керування (C2), доступному через прихований сервіс .

З’єднання проходять через локальний SOCKS5-проксі на localhost:9050. Такий підхід ускладнює виявлення інфраструктури за звичайною IP-адресою . Водночас сам факт активності на цьому порту ще не доводить зараження: його потрібно оцінювати разом з іншими підозрілими процесами та поведінкою.

Поширення через заражені USB-накопичувачі

Початкове зараження може відбуватися через шкідливі ярлики .lnk, розміщені на USB-носіях . Після відкриття ярлик запускає компонент-хробак, який перевіряє, чи заражений комп’ютер. Якщо ні, він завантажує основне навантаження з C2 через Tor .

Це створює ризик для ізольованих, або air-gapped, мереж: заражений USB-накопичувач може перенести шкідник між комп’ютерами, навіть якщо вони не мають прямого підключення до інтернету .

Знімки екрана та віддалене виконання коду

CryptoBandits також може передавати знімки екрана через Tor. Крім того, якщо сервер C2 повертає відповідь EVAL, шкідник здатен виконувати довільний код, наданий зловмисниками під час роботи . Це розширює загрозу далеко за межі самої підміни криптоадрес.

Що радять Microsoft Defender Experts

Microsoft Defender Experts рекомендують поєднувати превентивні налаштування з поведінковим пошуком ознак зараження :

• вимкнути AutoRun і AutoPlay для всіх змінних носіїв;
• заборонити запуск .lnk із removable drives за допомогою групових політик;
• обмежити непотрібне використання wscript.exe і cscript.exe;
• увімкнути правила Attack Surface Reduction, спрямовані проти обфускованих скриптів і підозрілої поведінки дочірніх процесів;
• перевіряти ланцюжки, у яких скриптові інтерпретатори запускають мережеві команди або інструменти на кшталт curl, PowerShell чи cmd.exe;
• шукати активність локального SOCKS5-проксі на localhost:9050;
• перевіряти незвичну роботу з буфером обміну та створення знімків екрана на пристроях, які використовуються для фінансових операцій .

Для користувачів криптогаманців базове правило залишається простим: завантажувати програми лише з офіційних джерел, не відкривати невідомі ярлики з USB і щоразу перевіряти адресу одержувача безпосередньо перед підписанням транзакції.

CryptoBandits — частина ширшої хвилі кліперів

Кампанія вписується в ширший потік повідомлень про кліпер-шкідники та викрадачі даних із буфера обміну, які з’являлися протягом 2026 року . Серед інших прикладів дослідники описували:

• CountLoader — багатоступеневу кампанію, що використовує JavaScript, PowerShell і shellcode для доставки кліпера ;
• кліпери на Rust — шкідники, які поширювалися через фішингові сторінки, GitHub, SourceForge та змінений відеоконтент на YouTube ;
• кліпери на Python — зокрема зразки, що розповсюджувалися через Discord під назвами Pro.exe і peeek.exe ;
• кліпери для Linux — наприклад ClipXDaemon, автономний викрадач буфера обміну для середовищ X11, виявлений у лютому 2026 року .

Сукупність цих випадків показує, що криптокліпери розвиваються одразу в кількох напрямках: від простого перехоплення адрес до викрадення ключів, прихованого керування через Tor, поширення через USB, соціальної інженерії та атак на Linux-системи .

Як CryptoBandits краде криптовалюту

Підміна адрес у буфері обміну

Шкідник запускається як скриптове навантаження через Windows Script Host і ActiveXObject . Приблизно кожні 500 мілісекунд він перевіряє буфер обміну. Якщо користувач копіює адресу криптогаманця, програма може непомітно замінити її на адресу, контрольовану зловмисниками .

Механізм розпізнає адреси різних мереж і валют, зокрема Bitcoin, Ethereum, Tron та Monero. Окрім адрес, CryptoBandits шукає в скопійованому тексті seed-фрази й приватні ключі за шаблонами, пов’язаними з криптогаманцями .

Саме тому після вставлення адреси перед підтвердженням переказу важливо звіряти її повністю, а не покладатися лише на перші чи останні символи.

Tor замість звичайної інфраструктури командування

Для зв’язку з операторами шкідник запускає перейменований виконуваний файл Tor — ugate.exe — у прихованому вікні. Після цього він очікує близько 60 секунд, поки Tor ініціалізується, створює унікальний ідентифікатор зараженого пристрою та реєструє його на сервері командування й керування (C2), доступному через прихований сервіс .

З’єднання проходять через локальний SOCKS5-проксі на localhost:9050. Такий підхід ускладнює виявлення інфраструктури за звичайною IP-адресою . Водночас сам факт активності на цьому порту ще не доводить зараження: його потрібно оцінювати разом з іншими підозрілими процесами та поведінкою.

Поширення через заражені USB-накопичувачі

Початкове зараження може відбуватися через шкідливі ярлики .lnk, розміщені на USB-носіях . Після відкриття ярлик запускає компонент-хробак, який перевіряє, чи заражений комп’ютер. Якщо ні, він завантажує основне навантаження з C2 через Tor .

Це створює ризик для ізольованих, або air-gapped, мереж: заражений USB-накопичувач може перенести шкідник між комп’ютерами, навіть якщо вони не мають прямого підключення до інтернету .

Знімки екрана та віддалене виконання коду

CryptoBandits також може передавати знімки екрана через Tor. Крім того, якщо сервер C2 повертає відповідь EVAL, шкідник здатен виконувати довільний код, наданий зловмисниками під час роботи . Це розширює загрозу далеко за межі самої підміни криптоадрес.

Що радять Microsoft Defender Experts

Microsoft Defender Experts рекомендують поєднувати превентивні налаштування з поведінковим пошуком ознак зараження :

• вимкнути AutoRun і AutoPlay для всіх змінних носіїв;
• заборонити запуск .lnk із removable drives за допомогою групових політик;
• обмежити непотрібне використання wscript.exe і cscript.exe;
• увімкнути правила Attack Surface Reduction, спрямовані проти обфускованих скриптів і підозрілої поведінки дочірніх процесів;
• перевіряти ланцюжки, у яких скриптові інтерпретатори запускають мережеві команди або інструменти на кшталт curl, PowerShell чи cmd.exe;
• шукати активність локального SOCKS5-проксі на localhost:9050;
• перевіряти незвичну роботу з буфером обміну та створення знімків екрана на пристроях, які використовуються для фінансових операцій .

Для користувачів криптогаманців базове правило залишається простим: завантажувати програми лише з офіційних джерел, не відкривати невідомі ярлики з USB і щоразу перевіряти адресу одержувача безпосередньо перед підписанням транзакції.

CryptoBandits — частина ширшої хвилі кліперів

Кампанія вписується в ширший потік повідомлень про кліпер-шкідники та викрадачі даних із буфера обміну, які з’являлися протягом 2026 року . Серед інших прикладів дослідники описували:

• CountLoader — багатоступеневу кампанію, що використовує JavaScript, PowerShell і shellcode для доставки кліпера ;
• кліпери на Rust — шкідники, які поширювалися через фішингові сторінки, GitHub, SourceForge та змінений відеоконтент на YouTube ;
• кліпери на Python — зокрема зразки, що розповсюджувалися через Discord під назвами Pro.exe і peeek.exe ;
• кліпери для Linux — наприклад ClipXDaemon, автономний викрадач буфера обміну для середовищ X11, виявлений у лютому 2026 року .

Сукупність цих випадків показує, що криптокліпери розвиваються одразу в кількох напрямках: від простого перехоплення адрес до викрадення ключів, прихованого керування через Tor, поширення через USB, соціальної інженерії та атак на Linux-системи .