CryptoBandits恶意软件：微软警告剪贴板劫持者正通过Tor和USB盗取加密货币钱包

2026年6月17日，微软披露了一个自2026年2月起主动攻击Windows用户的加密货币剪贴板劫持病毒活动，该活动被追踪为CryptoBandits相关检测 。该恶意软件将剪贴板劫持、助记词和私钥盗取、捆绑的Tor代理以及蠕虫式USB传播技术结合，旨在从联网环境和物理隔离环境中窃取加密货币 。

CryptoBandits病毒活动核心细节

• 剪贴板劫持机制：该恶意软件通过WScript和ActiveXObject以脚本载荷运行 。它大约每500毫秒监控一次剪贴板，将复制的比特币、以太坊、波场、门罗币等加密货币钱包地址替换为攻击者控制的地址 。此外，它还能提取符合钱包相关模式的助记词和私钥 。

• 基于Tor的C2隐匿通信：恶意软件在隐藏窗口中启动一个重命名的Tor二进制文件（ugate.exe），等待约60秒让Tor建立连接，生成受害者的唯一GUID，并向一个隐藏服务的命令与控制服务器注册受感染的设备 。所有C2通信通过本地Tor SOCKS5代理（位于localhost:9050）进行，从而避开基于IP的常规基础设施检测 。

• 蠕虫式USB传播：初始感染通过U盘上的恶意.lnk快捷文件传播 。该.lnk文件会激活一个蠕虫组件，检查系统是否已有感染，若未感染则通过Tor从C2服务器获取载荷 。当受感染的U盘在不同机器间移动时，该机制可使病毒跨越物理隔离环境传播 。

• 其他功能：恶意软件还能通过Tor上传屏幕截图，并能根据C2服务器返回的EVAL命令在运行时执行任意攻击者提供的代码 。

微软Defender专家给出的检测与防护建议

微软Defender专家团队建议采取以下缓解措施和调查步骤 ：

• 禁用所有可移动介质的自动运行/自动播放功能 。
• 通过组策略阻止从可移动驱动器执行.lnk文件 。
• 限制wscript.exe和cscript.exe的不必要使用 。
• 启用面向混淆脚本执行和可疑子进程行为的攻击面减少规则 。
• 调查涉及curl、PowerShell或cmd.exe的脚本到网络的攻击链 。
• 监控本地主机9050端口上的SOCKS5代理活动 。
• 对处理敏感财务工作流的设备，审查剪贴板相关和截屏行为 。

更广泛的背景：2026年剪贴板劫持病毒活动持续升温

CryptoBandits活动属于2026年报告的更广泛的加密货币剪贴板劫持病毒活动的一部分 。同期报告的另外值得注意的剪贴板劫持运营包括：

• CountLoader：一种使用JavaScript、PowerShell和shellcode的多阶段传播活动，最终分发剪贴板劫持载荷 。
• Rust语言的剪贴板劫持器：通过钓鱼网页、GitHub、SourceForge和虚假YouTube内容传播 。
• Python语言的剪贴板劫持器：通过Discord以Pro.exe/peeek.exe的名义分发 。
• 专注于Linux系统的剪贴板劫持器：例如2026年2月发现的"ClipXDaemon"，一种自主运行的X11剪贴板劫持器 。

综合来看，这些报告显示剪贴板劫持病毒活动已涵盖脚本驱动的Windows载荷、Tor基础设施、USB传播、社交平台分发以及针对Linux系统的剪贴板劫持 。