Microsoft объявила о новой угрозе шпионского программного обеспечения для зашифрованной буфера обмена: оно может скрытно распространяться и похищать адреса цифровых кошельков

Deep Tide TechFlow новости, 19 июня, команда по киберразведке Microsoft объявила о угрозе Windows-шифрованного буфера обмена, активной с февраля 2026 года, — вредоносной программы, сочетающей «червеобразное распространение + перехват буфера обмена + анонимная связь через Tor», нацеленную на пользователей цифровых активов.

Анализ Microsoft показывает, что эта вредоносная программа распространяется через поддельные ярлыки (.lnk) на переносных устройствах и использует WScript и ActiveX для выполнения скриптовой логики, автоматически развертывая локальный клиент Tor для анонимного управления и передачи данных. Цепочка атаки включает множество вредоносных возможностей: постоянный мониторинг содержимого буфера обмена, кражу мнемонических фраз и приватных ключей, скриншоты и их загрузка, а также «замену адреса» при копировании криптовалютных адресов, заменяя целевой адрес на адрес кошелька злоумышленника, что позволяет похищать средства.

Кроме того, этот червь обладает способностью к распространению — он автоматически копирует себя на устройства, такие как USB-накопители, создает запланированные задачи для обеспечения постоянной работы, а также имеет базовые средства против анализа (обнаружение диспетчера задач для обхода отладки).

В плане обнаружения Microsoft идентифицировала его как серию Trojan:Win32/CryptoBandits и блокирует его по признакам поведения (например, аномальные вызовы WScript, трафик через локальный прокси localhost:9050 и скриншоты PowerShell). Специалисты по безопасности рекомендуют сосредоточиться на защите путей выполнения скриптов и мониторинге аномального трафика через локальные прокси.