微软警告新的远程访问特洛伊木马针对Chrome浏览器上的加密货币钱包扩展程序

微软发现了一种新型远程访问特洛伊木马（RAT），它针对Google Chrome浏览器上的加密货币钱包扩展程序。该公司补充说，该RAT StilachiRAT使用高级技术来逃避检测。 

微软 在 6 月报道 发现了一种名为StilachiRAT的新型远程访问特洛伊木马（RAT）。该公司的 事件响应团队透露，他们于去年11月首次发现了该恶意软件。 

微软警告StilachiRAT针对用户信息和加密货币钱包 

微软事件响应团队表示，该远程访问特洛伊木马展示了复杂的逃避检测技术。它补充说，该特洛伊木马可以窃取存储在Chrome浏览器中的个人用户数据。团队补充说，该病毒可以访问数字钱包信息和剪贴板中存储的数据。 

🚨 新恶意软件警报：您的加密货币钱包可能面临风险！🚨

微软刚刚发现了一种名为StilachiRAT的狡猾新恶意软件——它正直接瞄准您的加密货币。👀

它做了什么：
🔹 扫描您的设备以查找20多种加密货币钱包扩展程序（包括MetaMask、Coinbase… pic.twitter.com/BkUwgJPCL1

— Ricards (@Ricardswo) 18月2025日

它解释说，不法分子可以在部署时使用该特洛伊木马窃取加密货币钱包数据。团队补充说，不法分子会扫描设备设置以识别是否安装了二十种加密货币钱包扩展程序中的任何一种。它强调了一些目标钱包，包括 MetaMask, OKX钱包、Coinbase钱包和Trust钱包。 

团队表示，对 StilachiRAT的WWStartupCtrl64.dll模块 的分析， 其中包含RAT功能，揭示了 

它使用各种方法从目标系统中窃取信息。 

它解释说，该恶意软件可以提取保存在Google Chrome本地状态文件中的凭据，如密码和加密密钥，并监控剪贴板活动。

微软补充说，StilachiRAT旨在收集系统信息，包括操作系统（OS）详细信息、硬件标识符（如BIOS序列号）、活动的远程桌面协议（RDP）会话、摄像头存在情况以及正在运行的图形用户界面（GUI）应用程序。它补充说，这些详细信息是通过使用WMI查询语言（WQL）的组件对象模型（COM）基于Web的企业管理（WBEM）接口收集的。 

微软还透露，该恶意软件可以使用检测规避和反取证功能，例如清除事件日志的能力。该公司补充说，该恶意软件还可以检查其是否在沙箱中运行的迹象，以阻止分析尝试。

它解释说，命令和控制（C2）服务器通信是双向的。微软补充说，通信使恶意软件能够启动发送给它的指令。它警告说，这些功能指向多功能的间谍活动和系统操纵工具。该公司强调，该恶意软件支持十种不同的命令。 

团队表示，他们当时无法确定幕后黑手是谁。它解释说，希望公开分享这些信息会降低可能成为不法分子受害者的数量。 

微软建议个人和机构采取措施保护其数据  

微软补充说，根据目前的可见性，该恶意软件目前并未表现出广泛传播。它表示，分享这些信息是公司持续监控和报告威胁态势努力的一部分。

该公司建议用户在设备上安装防病毒软件、基于云的防网络钓鱼和防恶意软件组件，以避免成为恶意软件的受害者。微软补充说，目前尚不清楚恶意软件是如何传递给目标的。它指出，此类特洛伊木马可以通过各种初始访问途径安装。 CertiK, 根据区块链安全公司 

2月份加密货币网络钓鱼骗局和黑客攻击造成的损失超过15.3亿美元。 

区块链分析公司Chainalysis警告说，随着加密货币的广泛接受，链上非法活动也增加了。它补充说，生态系统正经历来自不法分子的专业化程度提高。 

Chainalysis 该公司还表示，使用的黑客方法变得更加复杂。它指出，出现了为各种不法分子提供基础设施的大规模链上服务，帮助他们洗钱。