Assim que conecta o USB, já fica comprometido, essa cadeia de ataque é muito suja, sequestro da área de transferência + substituição de endereço + propagação por worm, é preciso verificar rapidamente se há tarefas agendadas desconhecidas no seu computador

GoPlusSecurity alerta que, a partir de fevereiro de 2026, os ladrões de área de transferência de criptomoedas ativos, combinando roubo de área de transferência, substituição de endereços de carteira e propagação de vermes, podem obter acesso e controle a longo prazo de dispositivos infectados. O ataque é distribuído por USB malicioso, monitorando novos dispositivos USB e criando atalhos maliciosos; colocando cargas de JavaScript duplamente ofuscadas em c:\users\public\documents\ e configurando tarefas agendadas; comunicando-se com um cliente Tor renomeado e domínios .onion; monitorando palavras-chave de recuperação e chaves privadas na área de transferência e vazando-as, ao mesmo tempo que tira capturas de tela; suportando substituição de endereços de carteira em vários formatos, com endereços substituídos semelhantes aos originais, dificultando a detecção.