Microsoft warnt vor Windows-Crypto-Clipper, der Seed-Phrases, Schlüssel und Wallets über Tor und USB-Sticks stiehlt
Collins J. Okoth
2 Min. Lesezeit
- Microsoft Threat Intelligence hat einen Windows-Kryptowährungs-Clipper namens CryptoBandits verfolgt, der seit Februar 2026 aktiv ist.
- Die Malware verbreitet sich über mit Fallen verseuchte USB-Verknüpfungsdateien und versteckt sich anschließend im Tor-Netzwerk, um Seed-Phrasen, private Schlüssel sowie in der Zwischenablage kopierte Wallet-Adressen zu stehlen.
- Neben dem Diebstahl kann sie vom Angreifer bereitgestellten Code auf infizierten Maschinen ausführen und verwandelt so einen simplen Zwischenablagen-Dieb in eine funktionale Backdoor.
Microsoft hat ein bösartiges Programm gemeldet, das seit Februar im Verborgenen operiert und Windows-Maschinen angreift. Das als CryptoBandits bezeichnete bösartige Programm kann Seed-Phrases, Schlüssel und Wallets über das Tor-Netzwerk stehlen und ist über USB-Sticks übertragbar.
In einem Blog Beitrag , der am 17. Juni veröffentlicht wurde, legten Experten von Microsoft Threat Intelligence und Microsoft Defender eine bösartige Kampagne offen, die Krypto-Wallets unbemerkt von den Opfern leert. Microsoft-Sicherheitsexperten stellten eine Mischung aus altmodischen USB-Wurm-Taktiken und moderner Anonymisierungstechnologie vor, die das bösartige Programm monatelang unentdeckt ließ.
Laut den Forschern konnte die bösartige Kampagne Zwischenabnahme-Diebstahl, Wallet-Adress-Ersetzung, wurmartige Verbreitung und Tor-basierte Kommunikation in einem einzigen Programm ausführen. Das Programm behielt auch lange nach der Ausführung des bösartigen Codes Zugriff auf den lokalen Rechner.
Microsoft erklärt, wie die Infektion ausgeführt wird
Der detaillierte Blogbeitrag von Microsoft enthüllte, dass die Infektion auf altmodische Weise begann, über einen USB-Stick. Die Malware griff dann auf Verknüpfungsdateien zu, die auf Wechseldatenträgern abgelegt wurden. Sobald sie an einen Rechner angeschlossen wurde, aktiviert sich die Wurm-Komponente sofort.
Die Wurm-Komponente sucht nach gewöhnlichen Dateien wie DOCs, Tabellenkalkulationen und PDFs auf dem Gerät, versteckt die echten und ersetzt sie durch gefälschte Verknüpfungen mit denselben Namen. Sobald dies geschehen ist, klicken die ahnungslosen Windows-Benutzer auf die Verknüpfungen, in der Annahme, sie würden die typische Word- oder Excel-Datei öffnen, aber stattdessen löst die Aktion die Malware aus.
Die Malware verbreitet sich dann auf den USB-Stick des Geräts und richtet geplante Aufgaben ein, um sie nach einem Neustart am Laufen zu halten, und schließt sich selbst von Microsoft Defender-Scans aus.
Wenn der eigentliche Clipper in der zweiten Phase aktiviert wird, stützt sich das skriptbasierte Payload auf Windows ScriptHost und Active X-Objekte anstelle eines typischen Installers, was es extrem schwer macht, es zu erkennen.
Sobald alles eingerichtet ist, startet die Malware einen Tor-Client in einem versteckten Fenster und generiert eine einzigartige Opfer-ID, registriert sich bei einem Command-and-Control-Server, der hinter einer Tor-Onion-Adresse verborgen ist. Auf diese Weise kann die Malware Informationen erfolgreich über diesen versteckten Kanal leiten, ohne entdeckt zu werden.
Microsoft zur Begründung, warum diese Malware schwerer zu fangen ist
Das Sicherheitsteam von Microsoft erklärte, dass die Malware in eine Schleife verfällt, ihre Betreiber abfragt und die Zwischenablage etwa alle halbe Sekunde scannt. Das Programm wurde speziell entwickelt, um 12- oder 24-Wort-BIP39-Seed-Phrases zu erkennen.
Die Malware scannt nach Ethereum-Schlüsseln und Bitcoin WIF-Format-Private-Schlüsseln, speichert eine lokale Sicherung und sendet sie über das Tor-Netzwerk an die Angreifer-Server. Sie ist so konzipiert, dass sie dieselbe Sequenz von Ereignissen mehrmals wiederholt, bis das Senden erfolgreich ist. Das Programm löscht dann die lokale Kopie, jedoch erst nach einem erfolgreichen Senden, und macht jede Sekunde mehrere Screenshots, was den Angreifern eine visuelle Übersicht über das Wallet-Guthaben und die Aktivität des Opfers bietet.
Wenn eine Wallet-Adresse in der Zwischenablage erscheint, kann die Malware sie durch eine vom Angreifer kontrollierte Adresse ersetzen, bevor das Opfer sie einfügt. Kopiert man eine Bitcoin-Adresse, um eine Zahlung zu senden, kann es sein, dass tatsächlich eine Adresse in das Zielfeld gelangt, die jemand anderem gehört.
Microsoft Defender Antivirus kennzeichnet die Bedrohung jetzt als Trojan:Win32/CryptoBandits.A, und Defender for Endpoint überwacht Verhaltensweisen wie verdächtige JavaScript-Prozesse und curl-basierte Datenexfiltration.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Collins J. Okoth
Collins Okoth ist Journalist und Marktanalyst mit acht Jahren Erfahrung in der Berichterstattung über Kryptowährungen und Technologie. Er ist zertifizierter Finanzanalyst (CFA) und besitzt einen Abschluss in Aktuarmathematik. Collins war zuvor als Autor und Redakteur bei Geek Computer und CoinRabbit tätig.
