CryptoBandits 剪貼簿騎劫病毒：Microsoft 揭露新型加密貨幣盜竊手法

2026 年 6 月 17 日，Microsoft 公開一個由 2026 年 2 月開始活躍嘅 Windows 加密貨幣剪貼簿攻擊行動，內部追蹤為 CryptoBandits 。呢款惡意軟件將剪貼簿騎劫、助記詞同私鑰偷取、內置 Tor 代理，以及蠕蟲式 USB 傳播結合埋一齊，喺有上網同離線嘅環境都偷到加密貨幣 。

CryptoBandits 攻擊詳細拆解

• 剪貼簿騎劫機制：呢個惡意軟件以 WScript 同 ActiveXObject 執行指令稿 。佢大約每 500 毫秒就監控一次剪貼簿，將用戶複製嘅加密貨幣錢包地址（包括 Bitcoin、Ethereum、Tron、Monero 等）換成黑客控制嘅地址 。同時，佢仲會偵測同偷取符合錢包格式嘅助記詞同私鑰 。

• 經 Tor 隱藏 C2 通訊：惡意軟件會用一個改名做 ugate.exe 嘅 Tor 程式，開一個隱藏視窗，等大約 60 秒等 Tor 連線成功，然後產生一個受害者 GUID，再將受感染裝置註冊到一個隱藏服務嘅 C2 伺服器 。所有 C2 通訊都經本機 Tor SOCKS5 代理（localhost:9050）進行，避開傳統 IP 架構 。

• 蠕蟲式 USB 傳播：最初嘅感染係經 USB 儲存裝置上嘅惡意 .lnk 捷徑檔案 。呢個 .lnk 會執行一個蠕蟲元件，檢查有冇已經中招，如果冇嘅話就經 Tor 由 C2 下載真正嘅惡意軟件 。呢個機制令到惡意軟件可以透過 USB 手指喺唔同電腦之間傳播，就算係離線環境都走得甩 。

• 其他功能：惡意軟件仲可以經 Tor 上傳截圖，如果 C2 回傳 EVAL 指令，就可以執行黑客提供嘅任意程式碼 。

Microsoft Defender 專家建議嘅偵測同防禦方法

Microsoft Defender 專家建議採取以下措施 ：

• 停用所有可移除媒體嘅 AutoRun/AutoPlay 。
• 透過群組原則封鎖由可移除磁碟機執行 .lnk 檔案 。
• 限制非必要使用 wscript.exe 同 cscript.exe 。
• 開啟針對混淆指令稿執行同可疑子程序行為嘅 Attack Surface Reduction 規則 。
• 調查涉及 curl、PowerShell 或 cmd.exe 嘅指令稿到網絡攻擊鏈 。
• 監察 localhost:9050 有冇本地 SOCKS5 代理活動 。
• 喺處理敏感金融交易嘅裝置上，留意剪貼簿同螢幕截圖相關嘅異常行為 。

2026 年剪貼簿惡意軟件整體趨勢

CryptoBandits 行動並唔係獨立事件，而係 2026 年加密貨幣剪貼簿惡意軟件浪潮嘅一部分 。同期仲有其他值得留意嘅攻擊：

• CountLoader：一個多階段攻擊，利用 JavaScript、PowerShell 同 Shellcode 散播剪貼簿病毒 。
• Rust 寫嘅剪貼簿騎劫軟件：經釣魚網頁、GitHub、SourceForge 同操控 YouTube 內容散播 。
• Python 寫嘅剪貼簿病毒：喺 Discord 上以 Pro.exe 或 peeek.exe 傳播 。
• 針對 Linux 嘅剪貼簿軟件：例如 2026 年 2 月發現嘅「ClipXDaemon」，一個獨立運作嘅 X11 剪貼簿騎劫軟件 。

總括嚟講，呢啲報告顯示剪貼簿惡意軟件嘅攻擊手法越來越多元化，涵蓋 Windows 指令稿、Tor 通訊、USB 傳播、社交平台散播，甚至 Linux 系統 。