Microsoft annonce une nouvelle menace de cheval de Troie de presse-papiers crypté : capable de se propager discrètement et de détourner les adresses de portefeuilles d'actifs numériques

Deep Tide TechFlow Actualités, le 19 juin, l'équipe d'intelligence de menace de Microsoft a publié une menace de cheval de Troie de presse-papiers crypté Windows active depuis février 2026, qui combine « propagation par ver, détournement de presse-papiers et communication anonyme via Tor », ciblant les utilisateurs d'actifs numériques.

Microsoft a analysé que ce logiciel malveillant se propage via des fichiers de raccourci (. lnk) déguisés entre les dispositifs de stockage amovibles, et utilise WScript et ActiveX pour exécuter une logique de script, déployant automatiquement un client Tor local pour un contrôle anonyme et une transmission de données. La chaîne d'attaque comprend plusieurs capacités malveillantes : surveillance continue du contenu du presse-papiers, vol de mnémoniques et de clés privées, capture d'écran et téléchargement, et lors de la copie d'une adresse de cryptomonnaie par l'utilisateur, il effectue un « remplacement d'adresse », remplaçant l'adresse cible par celle d'un portefeuille contrôlé par l'attaquant, réalisant ainsi un détournement de fonds.

De plus, ce cheval de Troie possède également une capacité de propagation par ver, pouvant automatiquement se copier sur des dispositifs comme des clés USB, et créer des tâches planifiées pour une persistance, tout en disposant d'une capacité de contre-analyse de base (détection de l'outil de gestion des tâches pour éviter le débogage).

Au niveau de la détection, Microsoft l'a identifié comme faisant partie de la série Trojan:Win32/CryptoBandits, et l'intercepte via des caractéristiques comportementales (telles que des appels anormaux à WScript, un trafic proxy localhost:9050 et des captures d'écran PowerShell). Les chercheurs en sécurité recommandent de renforcer la protection contre l'exécution de scripts et la surveillance du trafic proxy local anormal.