مایکروسافت جزئیات کمپین بدافزار کلیپر ویندوز را با استفاده از کرم USB LNK و C2 مبتنی بر Tor فاش کرد

مایکروسافت جزئیات یک کمپین بدافزاری مبتنی بر ویندوز با نام رمز «CryptoBandits» را فاش کرده است که از فوریه ۲۰۲۶ کاربران را هدف قرار داده است. این بدافزار از نوع «کلیپر» (Clipper Malware) است و با رهگیری محتوای کلیپ‌بورد، آدرس‌های کیف پول ارز دیجیتال را با آدرس‌های تحت کنترل مهاجمان جایگزین می‌کند. این بدافزار از شبکه ناشناس‌ساز تور (Tor) برای پنهان‌سازی ارتباطات با سرور فرمان و کنترل (C2) استفاده می‌کند و قابلیت خودانتشاری از طریق حافظه‌های USB را نیز دارد. تیم تحقیقاتی Microsoft Defender اعلام کرد که این بدافزار علاوه بر سرقت اطلاعات کلیپ‌بورد، اقدام به گرفتن تصویر از صفحه‌نمایش (Screenshot Exfiltration) و اجرای کدهای از راه دور نیز می‌کند.

روش انتشار این بدافزار از طریق فایل‌های میانبر ویندوز (LNK) آلوده روی دستگاه‌های USB است؛ این فایل‌ها با نام‌های اسناد معمول مانند DOC، XLSX و PDF ظاهر می‌شوند تا کاربران را فریب دهند. پس از اجرا، بدافزار یک کلاینت تور قابل‌حمل را راه‌اندازی کرده و از طریق پروکسی محلی SOCKS5 با سرور C2 ارتباط برقرار می‌کند و هر ۵۰۰ میلی‌ثانیه یک‌بار کلیپ‌بورد را برای یافتن عبارات بازیابی (Seed Phrases) و کلیدهای خصوصی (Private Keys) بررسی می‌کند. مایکروسافت به مدیران امنیتی توصیه کرده است که قابلیت AutoRun/AutoPlay را برای رسانه‌های قابل‌حمل غیرفعال کنند، اجرای فایل‌های LNK از درایوهای خارجی را از طریق سیاست‌های گروهی (GPOs) مسدود نمایند و استفاده غیرضروری از wscript.exe و cscript.exe را محدود سازند.