Assim que conecta o USB, já está infectado, essa cadeia de ataque é muito suja, sequestro de área de transferência + substituição de endereço + propagação por worms, é preciso verificar rapidamente se há tarefas agendadas desconhecidas no seu computador

GoPlusSecurity alerta que, a partir de fevereiro de 2026, os ladrões de clipboard de criptomoedas ativos, combinando roubo de clipboard, substituição de endereços de carteira e propagação de worms, podem obter acesso e controle de longo prazo sobre dispositivos infectados. O ataque é distribuído por USB malicioso, monitorando novos dispositivos USB e criando atalhos maliciosos; colocando cargas de JavaScript de dupla ofuscação em c:\users\public\documents\ e configurando tarefas agendadas; comunicando-se com um cliente Tor renomeado e domínios .onion; monitorando palavras-chave de recuperação e chaves privadas no clipboard e vazando-as, além de tirar capturas de tela; suportando substituição de endereços de carteira em vários formatos, com endereços substituídos semelhantes aos originais, dificultando a detecção.