CryptoBandits 活動關鍵細節

• 剪貼簿劫持機制：惡意軟體以 WScript 與 ActiveXObject 運作，以指令碼形式執行 。它大約每 500 毫秒監控一次剪貼簿，將使用者複製的加密貨幣錢包地址（如比特幣、以太坊、波場、門羅幣等）替換為攻擊者控制的地址 。此外，它還會擷取符合錢包格式的種子詞與私鑰 。

• 透過 Tor 隱匿指令與控制（C2）：惡意軟體會啟動一個重新命名的 Tor 二進位檔案（ugate.exe），並在隱藏視窗中執行。它等待約 60 秒讓 Tor 啟動，產生一個受害者的唯一識別碼（GUID），並將受感染的裝置註冊到一個隱藏服務的指令與控制伺服器 。C2 通訊會透過本機 Tor SOCKS5 代理（localhost:9050）進行，從而避開傳統的 IP 基礎架構 。

• 蠕蟲式 USB 傳播：初始感染是透過惡意的 .lnk 捷徑檔案，這些檔案可能透過 USB 隨身碟散播 。.lnk 會啟動一個蠕蟲組件，檢查裝置是否已受感染；若未受感染，則會透過 Tor 從 C2 伺服器下載惡意載荷 。當受感染的 USB 隨身碟在不同電腦之間移動時，這個機制可讓惡意軟體跨越氣隙環境傳播 。

• 其他能力：惡意軟體還能透過 Tor 上傳螢幕截圖；若 C2 伺服器回傳 EVAL 指令，它可以在執行階段執行攻擊者提供的任意程式碼 。

微軟 Defender 專家提供的偵測建議

微軟 Defender 專家建議採取以下緩解與追蹤措施 ：

• 停用所有可移除媒體的 AutoRun/AutoPlay 功能 。
• 透過群組原則封鎖從可移除磁碟機執行 .lnk 檔案 。
• 限制非必要的 wscript.exe 與 cscript.exe 使用 。
• 啟用攻擊面縮小（Attack Surface Reduction）規則，專注於混淆指令碼執行與可疑的子進程行為 。
• 調查涉及 curl、PowerShell 或 cmd.exe 的指令碼到網路的連鎖行為 。
• 監控本機 localhost:9050 上的 SOCKS5 代理活動 。
• 對於處理敏感金融交易的裝置，審查其剪貼簿相關行為與螢幕截圖行為 。

更廣泛的脈絡：2026 年剪貼簿劫持程式活動持續升溫

CryptoBandits 活動是 2026 年一系列加密貨幣剪貼簿劫持攻擊中的一例 。同期其他值得注意的剪貼簿劫持攻擊包括：

• CountLoader：一個多階段的攻擊活動，利用 JavaScript、PowerShell 與 Shellcode 來散播剪貼簿劫持載荷 。
• 以 Rust 撰寫的剪貼簿劫持程式：透過釣魚頁面、GitHub、SourceForge 以及被操縱的 YouTube 內容散播 。
• 以 Python 撰寫的剪貼簿劫持程式：透過 Discord 以 Pro.exe / peeek.exe 名稱散播 。
• 針對 Linux 的剪貼簿劫持程式：例如 2026 年 2 月發現的「ClipXDaemon」，這是一個自主運作的 X11 剪貼簿劫持程式 。

綜合這些報告，可以看見剪貼簿劫持惡意軟體活動涵蓋了 Windows 指令碼載荷、Tor 基礎架構、USB 傳播、社群平台散播，以及針對 Linux 的攻擊 。

CryptoBandits 活動關鍵細節

• 剪貼簿劫持機制：惡意軟體以 WScript 與 ActiveXObject 運作，以指令碼形式執行 。它大約每 500 毫秒監控一次剪貼簿，將使用者複製的加密貨幣錢包地址（如比特幣、以太坊、波場、門羅幣等）替換為攻擊者控制的地址 。此外，它還會擷取符合錢包格式的種子詞與私鑰 。

• 透過 Tor 隱匿指令與控制（C2）：惡意軟體會啟動一個重新命名的 Tor 二進位檔案（ugate.exe），並在隱藏視窗中執行。它等待約 60 秒讓 Tor 啟動，產生一個受害者的唯一識別碼（GUID），並將受感染的裝置註冊到一個隱藏服務的指令與控制伺服器 。C2 通訊會透過本機 Tor SOCKS5 代理（localhost:9050）進行，從而避開傳統的 IP 基礎架構 。

• 蠕蟲式 USB 傳播：初始感染是透過惡意的 .lnk 捷徑檔案，這些檔案可能透過 USB 隨身碟散播 。.lnk 會啟動一個蠕蟲組件，檢查裝置是否已受感染；若未受感染，則會透過 Tor 從 C2 伺服器下載惡意載荷 。當受感染的 USB 隨身碟在不同電腦之間移動時，這個機制可讓惡意軟體跨越氣隙環境傳播 。

• 其他能力：惡意軟體還能透過 Tor 上傳螢幕截圖；若 C2 伺服器回傳 EVAL 指令，它可以在執行階段執行攻擊者提供的任意程式碼 。

微軟 Defender 專家提供的偵測建議

微軟 Defender 專家建議採取以下緩解與追蹤措施 ：

• 停用所有可移除媒體的 AutoRun/AutoPlay 功能 。
• 透過群組原則封鎖從可移除磁碟機執行 .lnk 檔案 。
• 限制非必要的 wscript.exe 與 cscript.exe 使用 。
• 啟用攻擊面縮小（Attack Surface Reduction）規則，專注於混淆指令碼執行與可疑的子進程行為 。
• 調查涉及 curl、PowerShell 或 cmd.exe 的指令碼到網路的連鎖行為 。
• 監控本機 localhost:9050 上的 SOCKS5 代理活動 。
• 對於處理敏感金融交易的裝置，審查其剪貼簿相關行為與螢幕截圖行為 。

更廣泛的脈絡：2026 年剪貼簿劫持程式活動持續升溫

CryptoBandits 活動是 2026 年一系列加密貨幣剪貼簿劫持攻擊中的一例 。同期其他值得注意的剪貼簿劫持攻擊包括：

• CountLoader：一個多階段的攻擊活動，利用 JavaScript、PowerShell 與 Shellcode 來散播剪貼簿劫持載荷 。
• 以 Rust 撰寫的剪貼簿劫持程式：透過釣魚頁面、GitHub、SourceForge 以及被操縱的 YouTube 內容散播 。
• 以 Python 撰寫的剪貼簿劫持程式：透過 Discord 以 Pro.exe / peeek.exe 名稱散播 。
• 針對 Linux 的剪貼簿劫持程式：例如 2026 年 2 月發現的「ClipXDaemon」，這是一個自主運作的 X11 剪貼簿劫持程式 。

綜合這些報告，可以看見剪貼簿劫持惡意軟體活動涵蓋了 Windows 指令碼載荷、Tor 基礎架構、USB 傳播、社群平台散播，以及針對 Linux 的攻擊 。