Chi tiết chính về chiến dịch CryptoBandits

• Cơ chế chiếm quyền clipboard: Malware chạy dưới dạng payload script qua WScript và ActiveXObject . Nó giám sát clipboard khoảng mỗi 500 mili giây, thay thế các địa chỉ ví tiền mã hóa đã sao chép (ví dụ Bitcoin, Ethereum, Tron, Monero…) bằng địa chỉ do kẻ tấn công kiểm soát . Malware cũng trích xuất seed phrase và private key khớp với các mẫu dữ liệu liên quan đến ví .

• Tor-based C2 evasion: Malware khởi chạy một binary Tor đã được đổi tên (ugate.exe) trong một cửa sổ ẩn, chờ khoảng 60 giây để Tor khởi tạo, tạo một GUID nạn nhân, và đăng ký thiết bị bị nhiễm với một máy chủ điều khiển dạng hidden-service . Giao tiếp với C2 diễn ra qua proxy Tor SOCKS5 cục bộ trên localhost:9050, giúp tránh bị phát hiện qua hạ tầng IP thông thường .

• Lây lan như sâu qua USB: Nhiễm ban đầu xảy ra thông qua các file shortcut .lnk độc hại được phân phối trên thiết bị lưu trữ USB . File .lnk này kích hoạt một thành phần sâu (worm) kiểm tra xem máy đã bị nhiễm chưa và nếu chưa, nó sẽ tải payload từ C2 qua Tor . Cơ chế này cho phép malware lây lan sang các môi trường air-gapped khi USB bị nhiễm được cắm vào các máy khác .

• Khả năng bổ sung: Malware có thể tải ảnh chụp màn hình lên qua Tor và thực thi mã tùy ý do kẻ tấn công cung cấp nếu C2 trả về phản hồi EVAL .

Khuyến nghị phát hiện từ Microsoft Defender Experts

Các chuyên gia của Microsoft Defender khuyến nghị các biện pháp giảm thiểu và săn lùng sau :

• Tắt tính năng AutoRun/AutoPlay cho tất cả phương tiện di động .
• Chặn thực thi file .lnk từ ổ đĩa di động qua Group Policy .
• Hạn chế sử dụng không cần thiết wscript.exe và cscript.exe .
• Bật các quy tắc Attack Surface Reduction tập trung vào thực thi script bị làm rối và hành vi child-process đáng ngờ .
• Điều tra chuỗi script-to-network liên quan đến curl, PowerShell, hoặc cmd.exe .
• Theo dõi hoạt động proxy SOCKS5 cục bộ trên localhost:9050 .
• Rà soát các hành vi liên quan đến clipboard và chụp màn hình trên các thiết bị xử lý quy trình tài chính nhạy cảm .

Bối cảnh rộng hơn: Hoạt động clipper malware gia tăng trong năm 2026

Chiến dịch CryptoBandits nằm trong một loạt các hoạt động clipper và chiếm quyền clipboard được báo cáo . Các chiến dịch clipper đáng chú ý khác trong giai đoạn này bao gồm:

• CountLoader: Chiến dịch đa giai đoạn sử dụng JavaScript, PowerShell và shellcode để phân phối payload clipper .
• Clipboard hijacker viết bằng Rust: Được phân phối qua các trang phishing, GitHub, SourceForge và nội dung YouTube bị thao túng .
• Clipper viết bằng Python: Được phân phối qua Discord với tên Pro.exe / peeek.exe .
• Clipper nhắm vào Linux: Như “ClipXDaemon,” một clipboard hijacker X11 tự động được xác định vào tháng 2/2026 .

Tổng hợp lại, các báo cáo này cho thấy hoạt động clipper malware trải dài trên các payload Windows dạng script, hạ tầng Tor, lây lan qua USB, phân phối qua nền tảng xã hội, và tấn công clipboard trên Linux .

Chi tiết chính về chiến dịch CryptoBandits

• Cơ chế chiếm quyền clipboard: Malware chạy dưới dạng payload script qua WScript và ActiveXObject . Nó giám sát clipboard khoảng mỗi 500 mili giây, thay thế các địa chỉ ví tiền mã hóa đã sao chép (ví dụ Bitcoin, Ethereum, Tron, Monero…) bằng địa chỉ do kẻ tấn công kiểm soát . Malware cũng trích xuất seed phrase và private key khớp với các mẫu dữ liệu liên quan đến ví .

• Tor-based C2 evasion: Malware khởi chạy một binary Tor đã được đổi tên (ugate.exe) trong một cửa sổ ẩn, chờ khoảng 60 giây để Tor khởi tạo, tạo một GUID nạn nhân, và đăng ký thiết bị bị nhiễm với một máy chủ điều khiển dạng hidden-service . Giao tiếp với C2 diễn ra qua proxy Tor SOCKS5 cục bộ trên localhost:9050, giúp tránh bị phát hiện qua hạ tầng IP thông thường .

• Lây lan như sâu qua USB: Nhiễm ban đầu xảy ra thông qua các file shortcut .lnk độc hại được phân phối trên thiết bị lưu trữ USB . File .lnk này kích hoạt một thành phần sâu (worm) kiểm tra xem máy đã bị nhiễm chưa và nếu chưa, nó sẽ tải payload từ C2 qua Tor . Cơ chế này cho phép malware lây lan sang các môi trường air-gapped khi USB bị nhiễm được cắm vào các máy khác .

• Khả năng bổ sung: Malware có thể tải ảnh chụp màn hình lên qua Tor và thực thi mã tùy ý do kẻ tấn công cung cấp nếu C2 trả về phản hồi EVAL .

Khuyến nghị phát hiện từ Microsoft Defender Experts

Các chuyên gia của Microsoft Defender khuyến nghị các biện pháp giảm thiểu và săn lùng sau :

• Tắt tính năng AutoRun/AutoPlay cho tất cả phương tiện di động .
• Chặn thực thi file .lnk từ ổ đĩa di động qua Group Policy .
• Hạn chế sử dụng không cần thiết wscript.exe và cscript.exe .
• Bật các quy tắc Attack Surface Reduction tập trung vào thực thi script bị làm rối và hành vi child-process đáng ngờ .
• Điều tra chuỗi script-to-network liên quan đến curl, PowerShell, hoặc cmd.exe .
• Theo dõi hoạt động proxy SOCKS5 cục bộ trên localhost:9050 .
• Rà soát các hành vi liên quan đến clipboard và chụp màn hình trên các thiết bị xử lý quy trình tài chính nhạy cảm .

Bối cảnh rộng hơn: Hoạt động clipper malware gia tăng trong năm 2026

Chiến dịch CryptoBandits nằm trong một loạt các hoạt động clipper và chiếm quyền clipboard được báo cáo . Các chiến dịch clipper đáng chú ý khác trong giai đoạn này bao gồm:

• CountLoader: Chiến dịch đa giai đoạn sử dụng JavaScript, PowerShell và shellcode để phân phối payload clipper .
• Clipboard hijacker viết bằng Rust: Được phân phối qua các trang phishing, GitHub, SourceForge và nội dung YouTube bị thao túng .
• Clipper viết bằng Python: Được phân phối qua Discord với tên Pro.exe / peeek.exe .
• Clipper nhắm vào Linux: Như “ClipXDaemon,” một clipboard hijacker X11 tự động được xác định vào tháng 2/2026 .

Tổng hợp lại, các báo cáo này cho thấy hoạt động clipper malware trải dài trên các payload Windows dạng script, hạ tầng Tor, lây lan qua USB, phân phối qua nền tảng xã hội, và tấn công clipboard trên Linux .