- 微软 Defender 防病毒软件现在将该威胁标记为 Trojan:Win32/CryptoBandits.A，Defender for Endpoint 则监视可疑 JavaScript 进程和基于 curl 的数据外泄等行为。
- 该恶意软件通过带有陷阱的USB快捷方式文件进行传播，随后隐藏在Tor网络中窃取助记词、私钥以及复制的钱包地址。
- 除了窃取数据外，它还能在受感染的机器上运行攻击者提供的代码，将简单的剪贴板窃听器转变为功能性的后门。
微软标记了一种自2月以来一直在悄悄运行并针对 Windows 机器的恶意程序。该恶意程序被称为 CryptoBandits，可通过 Tor 网络窃取助记词、密钥和钱包，并可通过 USB 驱动器进行传播。
在一篇 帖子 发布于6月17日的博客
中，微软威胁情报和微软 Defender 专家揭露了一场一直在无声无息中清空加密钱包的活动。微软安全专家详细阐述了一种结合老式 USB 蠕虫战术和现代匿名工具的技术，使得该恶意程序在数月内未被发现。
根据研究人员称，该恶意活动可将剪贴板窃取、钱包地址替换、蠕虫式传播以及基于 Tor 的通信整合到一个程序中。该程序在恶意代码执行后，仍能在本地机器上保持访问权限。
微软解释了感染的执行方式
微软的详细博客文章显示，感染以老式方式开始，通过 USB 闪存盘。恶意软件随后访问插入可移动驱动器中的快捷方式文件。一旦插入机器，蠕虫组件会立即激活。
蠕虫组件会在设备上搜寻普通文件，如 DOC 文档、电子表格和 PDF，隐藏真实文件，并用具有相同名称的虚假快捷方式替换它们。完成此操作后，毫无戒心的 Windows 用户点击快捷方式，以为正在打开典型的 Word 或 Excel 文件，但实际上触发了恶意软件。
随后，恶意软件将其自身传播到机器的 USB 驱动器，并设置计划任务以在重启后保持运行，同时将自己排除在微软 Defender 扫描之外。
当实际的剪贴板窃取器在第二阶段激活时，基于脚本的有效载荷利用 Windows ScriptHost 和 Active X 对象，而不是典型的安装程序，使其极难被检测。
一切设置完毕后，恶意软件启动一个隐藏窗口的 Tor 客户端，并生成唯一的受害者 ID，注册到隐藏在 Tor 洋葱地址后的命令与控制服务器。这样，恶意软件就可以通过该隐藏通道成功传输信息而不被发现。
微软解释为何该恶意软件更难被捕获
微软安全团队解释称，恶意软件进入一个循环，每半秒左右轮询其操作员并扫描剪贴板。该程序专门设计用于识别12或24个单词的 BIP39 助记词。 Bitcoin 恶意软件扫描以太坊密钥和
WIF 格式的私钥，保存本地备份，并通过 Tor 网络将其推送到攻击者服务器。它被设计为多次重试相同的事件序列，直到推送成功。程序随后删除本地副本（仅在推送成功后），并每秒截取多次屏幕截图，使攻击者能够直观地查看受害者的钱包余额和活动。
如果剪贴板中出现钱包地址，恶意软件可以在受害者粘贴之前将其替换为攻击者控制的地址。复制一个比特币地址以发送付款，实际落入目标字段的地址可能完全属于其他人。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Collins J. Okoth
Collins Okoth 是一位拥有 8 年经验的记者和市场分析师，专注于加密货币和科技领域报道。他是特许金融分析师（CFA），并拥有精算数学学位。Collins 此前曾在 Geek Computer 和 CoinRabbit 担任撰稿人和编辑。
