微软发现新型恶意软件通过U盘攻击Windows用户加密货币钱包
微软近日识别出一种新型恶意软件,自2月以来通过U盘传播,专门针对Windows用户的加密货币钱包。该公司将其归类为“加密钱包剪贴板劫持器”(crypto clipper),并在Microsoft Defender防病毒软件中以Trojan:Win32/CryptoBandits的名义进行追踪。
恶意软件如何运作?
攻击始于一个放置在受感染U盘上的恶意快捷方式文件(.lnk扩展名)。尽管这类文件通常用于在Windows中打开程序或文件夹,但点击该被篡改的快捷方式会在设备上安装一种类似蠕虫的恶意软件。
安装完成后,恶意软件会同时执行两项关键任务。首先,它会持续运行主代码,从加密货币钱包中收集信息。其次,它会不断等待干净的U盘连接到同一台电脑,从而使感染扩散到多个便携设备和系统。
据微软称,该恶意软件会定期监控剪贴板数据,收集诸如助记词、私钥和收款地址等信息。这些数据随后通过Tor网络发送给攻击者。此外,当用户复制交易所需的钱包地址时,恶意软件可以悄悄将其替换为攻击者控制的地址,从而实施未经授权的转账。
针对哪些数据?
微软指出,该恶意软件每500毫秒扫描一次Windows剪贴板。如果用户从比特币或以太坊等钱包复制了助记词或私钥,该软件就会捕获这些敏感信息。恶意软件还会以10秒为间隔截取多达五张屏幕截图,并将其发送到外部。
其中最关键的风险之一是对转账地址的静默替换。当用户复制收款地址以发送资金时,恶意软件可以在粘贴前将其替换为攻击者的地址——且不显示任何可见警告——从而可能将加密货币转移至未经授权的一方。
小词典:Tor网络
Tor网络是一个开源平台,通过将互联网流量经过多个服务器路由来增强隐私保护。网络攻击中常被用于隐藏命令与控制通信。
基于U盘的传播方式
通过U盘传播的方式是另一个显著特点。当干净的U盘连接到受感染的电脑时,恶意软件会扫描其中的Word、Excel和PDF等文件。接着,它会将这些文件替换成同名的快捷方式文件,从而感染该U盘。
这种手段可能误导用户以为文件未受更改,使得感染循环得以继续——当被感染的U盘连接到其他设备时,将进一步扩大传播范围。
微软的安全建议
微软建议禁用可移动介质的自动运行功能,通过组策略阻止U盘上的.lnk文件执行,并限制wscript.exe和cscript.exe等脚本主机。同时,微软敦促IT团队扫描网络,查找已公布的入侵指标。
这些指标包括文件哈希以及据称与命令与控制服务器相关的.onion域名地址。微软还建议Microsoft Defender用户检查本地Tor代理在端口9050上是否存在可疑连接,并审查系统内的相关活动。
BTC
ETH

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注