Microsoft оголосила про нову загрозу шифрованого буфера обміну: приховане поширення та викрадення адрес цифрових гаманців

Глибокі хвилі TechFlow повідомляють, 19 червня команда з кіберрозвідки Microsoft опублікувала інформацію про загрозу шкідливого програмного забезпечення для Windows, яке активне з лютого 2026 року, — шкідливу програму у вигляді шифрувальної буфера обміну, що поєднує «черв’як-розповсюджувач + перехоплення буфера обміну + анонімний зв’язок через Tor», спрямовану на користувачів цифрових активів.

Аналіз Microsoft показує, що ця зловмисна програма поширюється через підроблені ярлики (.lnk файли) між знімними носіями та використовує WScript і ActiveX для виконання сценаріїв, автоматично розгортаючи локальний клієнт Tor для анонімного управління та передачі даних. Ланцюг атаки включає кілька зловмисних функцій: постійний моніторинг вмісту буфера обміну, крадіжку мнемонічних фраз і приватних ключів, зняття скріншотів і їх завантаження, а також під час копіювання адрес криптовалюти виконує «заміщення адреси», замінюючи цільову адресу на адресу гаманця, контрольованого зловмисником, що дозволяє викрасти кошти.

Крім того, цей шкідливий програмний засіб має здатність до розповсюдження черв’яком, автоматично копіюючи себе на USB-накопичувачі та інші пристрої, створюючи заплановані завдання для забезпечення стійкої роботи, а також має базові можливості протидії аналізу (виявляє управління задачами для уникнення налагодження).

З точки зору виявлення, Microsoft класифікувала його як Trojan:Win32/CryptoBandits і блокує за допомогою поведінкових ознак (наприклад, аномальні виклики WScript, трафік через проксі localhost:9050 та поведінка знімання скріншотів за допомогою PowerShell). Фахівці з безпеки рекомендують особливо уважно стежити за шляхами виконання сценаріїв і моніторингом аномального трафіку через локальні проксі.