微軟發現新型加密貨幣木馬透過 Tor 傳播並竊取錢包地址

ChainCatcher 消息，微軟公司威脅情報團隊官方公布一款自 2026 年 2 月起活躍的 Windows 加密木馬威脅，該惡意軟體結合「蠕蟲式傳播+剪貼板劫持+Tor 匿名通信」，針對數位資產用戶實施攻擊。微軟分析指出，該惡意程式透過偽裝的快捷方式（.lnk）檔案在可移動儲存設備間傳播，並利用 WScript 與 ActiveX 執行腳本邏輯，自動部署本地 Tor 客戶端，透過 127.0.1:9050 代理連接。onion 隱藏服務 C2 伺服器，實現匿名控制與資料回傳。攻擊鏈包括多重惡意能力：持續監控剪貼板內容、竊取助記詞與私鑰、截圖上傳，並在用戶複製加密貨幣地址時進行「地址替換」，將目標地址替換為攻擊者控制的钱包地址，從而實現資金劫持。此外，該木馬還具備蠕蟲傳播能力，可自動在 U 盤等設備中複製自身，並建立計劃任務實現持久化運行，同時具備基礎反分析能力（檢測任務管理器以規避除錯）。在檢測層面，微軟已將其識別為 Trojan:Win32/CryptoBandits 系列，並透過行為特徵（如 WScript 異常呼叫、localhost:9050 代理流量及 PowerShell 截圖行為）進行攔截。安全研究人員建議重點防護腳本執行路徑及本地代理異常流量監測。