🥵 Microsoft выявила вредоносное ПО для Windows, которое крадет сид-фразы и приватные ключи, подменяет адреса криптокошельков в буфере обмена и передает данные через Tor, говорится в исследовании компании. Кампания активна как минимум с февраля 2026 года.
«Сочетание управления через Tor, отслеживания буфера обмена, снимков экрана и удаленного исполнения кода дает злоумышленникам возможность как немедленной кражи средств, так и дальнейшего контроля над зараженным устройством», — говорится в исследовании Microsoft.
Вирус распространяется через вредоносные файлы .lnk на USB-накопителях и закрепляется в системе через задачи Windows. Он проверяет буфер обмена примерно каждые 500 мс, ищет сид-фразы из 12 или 24 слов и приватные ключи Bitcoin и Ethereum, а также заменяет скопированные адреса BTC, Tron и Monero на адреса злоумышленников.
Для связи с управляющим сервером вредонос запускает собственный Tor-клиент и использует локальный SOCKS5-прокси на localhost:9050. Microsoft Defender определяет его как Trojan:Win32/CryptoBandits.A.
📲 IF Crypto — MAX
«Сочетание управления через Tor, отслеживания буфера обмена, снимков экрана и удаленного исполнения кода дает злоумышленникам возможность как немедленной кражи средств, так и дальнейшего контроля над зараженным устройством», — говорится в исследовании Microsoft.
Вирус распространяется через вредоносные файлы .lnk на USB-накопителях и закрепляется в системе через задачи Windows. Он проверяет буфер обмена примерно каждые 500 мс, ищет сид-фразы из 12 или 24 слов и приватные ключи Bitcoin и Ethereum, а также заменяет скопированные адреса BTC, Tron и Monero на адреса злоумышленников.
Для связи с управляющим сервером вредонос запускает собственный Tor-клиент и использует локальный SOCKS5-прокси на localhost:9050. Microsoft Defender определяет его как Trojan:Win32/CryptoBandits.A.
📲 IF Crypto — MAX