มัลแวร์ CryptoBandits ช่วยให้อาชญากรใช้ USB Drive ของคุณเพื่อเข้าถึงกระเป๋าเงินคริปโต – Microsoft เตือน
การวิจัยมัลแวร์คริปโตล่าสุดของ Microsoft ชี้ให้เห็นว่ากระเป๋าเงินคริปโต ซึ่งเป็นหนึ่งในหลายจุดที่ธุรกรรมอาจล้มเหลว เป็นจุดอ่อนเชิงปฏิบัติที่สำคัญในการดูแลสินทรัพย์ด้วยตนเอง
เครื่อง Windows ที่ถูกโจมตีสามารถเปลี่ยนที่อยู่ที่ผู้ใช้คัดลอก เปิดเผย seed phrase ก่อนที่การโอนจะได้รับการลงนาม หรือส่งภาพหน้าจอและข้อมูลบริบทของกระเป๋าเงินกลับไปยังผู้โจมตี
ในรายงาน Security Blog เมื่อวันที่ 17 มิถุนายน Microsoft ระบุว่ามัลแวร์ CryptoBandits ที่ตรวจพบในชื่อ "CryptoBandits.A" นั้นเริ่มใช้งานตั้งแต่เดือนกุมภาพันธ์ 2026 และแพร่กระจายไปยังระบบต่าง ๆ ผ่านไฟล์ทางลัด Windows ที่เป็นอันตรายบนอุปกรณ์จัดเก็บข้อมูล USB
มัลแวร์ดังกล่าวยังขโมยความลับของกระเป๋าเงิน สลับที่อยู่ที่คัดลอก และสื่อสารกับโครงสร้างพื้นฐาน command-and-control ผ่าน Tor Microsoft ระบุว่ามันตรวจสอบคลิปบอร์ดทุก ๆ ประมาณ 500 มิลลิวินาที และค้นหา seed phrase, private key และที่อยู่กระเป๋าเงิน
Hardware wallet การตรวจสอบที่อยู่ และวินัยในการจัดการ seed phrase ยังคงเป็นมาตรการควบคุมที่จำเป็น แต่หากอุปกรณ์ปลายทางที่จัดการเวิร์กโฟลว์กระเป๋าเงินถูกโจมตี ผู้โจมตีอาจมองเห็นความลับ เปลี่ยนปลายทาง หรือดูหน้าจอได้ก่อนที่ผู้ใช้จะสังเกตเห็นว่ามีบางอย่างผิดปกติ
CryptoSlate เคยรายงานรูปแบบการขโมยกระเป๋าเงินที่เกี่ยวข้องมาก่อน รวมถึงการแทนที่ที่อยู่แบบ ClipBanker และมัลแวร์กระเป๋าเงินที่เชื่อมโยงกับ Microsoft องค์ประกอบใหม่ในรายงานของ Microsoft คือการรวมกันของการแพร่กระจายผ่าน USB การขโมยคลิปบอร์ด การควบคุมผ่านเส้นทาง Tor และคำแนะนำในการตรวจจับพฤติกรรมดังกล่าว
มัลแวร์ CryptoBandits เปลี่ยนทางลัด USB ให้กลายเป็นการเรียกใช้งานได้อย่างไร
Microsoft ระบุว่าการเข้าถึงครั้งแรกเกิดขึ้นผ่านไฟล์ .lnk ที่เป็นอันตราย รวมถึงทางลัดที่แจกจ่ายบนอุปกรณ์จัดเก็บข้อมูล USB ในกรณีที่ Microsoft วิเคราะห์ ทางลัดดังกล่าวจะติดตั้งส่วนประกอบเวิร์ม
จากนั้นมัลแวร์จะสแกนไดรฟ์ USB เพื่อหาไฟล์เอกสารทั่วไป เช่น .doc, .xlsx และ .pdf ซ่อนไฟล์ต้นฉบับ และสร้างไฟล์ทางลัดใหม่ที่มีชื่อไฟล์เดียวกัน
ผลลัพธ์คือกับดักที่คุ้นเคย: ผู้ใช้คิดว่ากำลังเปิดเอกสารจากสื่อแบบถอดได้ แต่จริง ๆ แล้วกำลังเรียกใช้เพย์โหลดเวิร์ม พฤติกรรมดังกล่าวสอดคล้องกับรูปแบบความปลอดภัยที่กว้างขึ้นที่ MITRE ATT&CK อธิบายว่าเป็นการจำลองผ่านสื่อแบบถอดได้ แต่ผลกระทบที่เฉพาะเจาะจงด้านคริปโตนั้นตรงกว่า
เครื่องที่ใช้ในการลงนาม คัดลอก หรือตรวจสอบรายละเอียดกระเป๋าเงินกลายเป็นส่วนหนึ่งของพื้นผิวการโจมตี
เมื่อทางลัดที่เป็นอันตรายทำงาน Microsoft ระบุว่ามัลแวร์จะวาง JavaScript payload ที่ถูกทำให้สับสนไว้ใน C:\Users\Public\Documents ใช้ scheduled task เพื่อความคงอยู่ และเก็บหนึ่งงานที่มุ่งเน้นการแพร่กระจายไปยังไดรฟ์ USB ที่เพิ่งเสียบเข้ามา อีกงานหนึ่งทำหน้าที่ขโมยข้อมูล
การโจมตีมักเริ่มต้นด้วยการจัดการไฟล์ตามปกติ ไดรฟ์ USB ที่ใช้ร่วมกัน ไฟล์ที่คัดลอก หรือนิสัยการใช้สื่อแบบถอดได้แบบเดิม ๆ อาจทำให้อุปกรณ์ปลายทางที่จัดการกระเป๋าเงินอยู่ในสถานะไม่ปลอดภัยก่อนที่ซอฟต์แวร์กระเป๋าเงินใด ๆ จะถูกเปิด
สิ่งนี้เปลี่ยนการใช้สื่อแบบถอดได้ตามปกติให้กลายเป็นความเสี่ยงมัลแวร์ USB สำหรับอุปกรณ์ใด ๆ ที่ต่อมาเกี่ยวข้องกับเวิร์กโฟลว์กระเป๋าเงิน
อย่างไรก็ตาม วิธีการป้องกันนั้นปฏิบัติได้จริง ช่วงเวลาที่เสี่ยงคือการเรียกใช้ทางลัดและความคงอยู่ที่ตามมา ก่อนที่การดำเนินการกระเป๋าเงินจะเริ่มต้น
สำหรับบุคคลหรือทีมที่โอนคริปโต อุปกรณ์ที่เปิดสื่อแบบถอดได้อาจเป็นอุปกรณ์ที่ต่อมาคัดลอกที่อยู่สำหรับฝากเงิน แสดงเวิร์กโฟลว์การกู้คืน หรือเตรียมการโอนคลัง
สำหรับการดำเนินงานกระเป๋าเงิน นโยบายสื่อแบบถอดได้กลายเป็นส่วนหนึ่งของการดำเนินงานด้านการดูแลรักษา ผู้ใช้หรือโต๊ะทำงานที่ปฏิบัติต่อเวิร์กสเตชันสำหรับลงนามเหมือนคอมพิวเตอร์ทั่วไปจะรับความเสี่ยงของเวิร์กโฟลว์เอกสารทุกอย่างที่เกี่ยวข้องกับเครื่องนั้น
อุปกรณ์ที่ใช้สำหรับกิจกรรมกระเป๋าเงินต้องการวิธีการเรียกใช้ทางลัด สคริปต์ และเพย์โหลดที่ไม่น่าเชื่อถือให้น้อยลง
การโจมตีเริ่มต้นในฐานะปัญหาทางลัด Windows จากนั้นกลายเป็นปัญหาการควบคุมกระเป๋าเงิน เมื่ออุปกรณ์ปลายทางถูกโจมตี ลำดับปกติของผู้ใช้ในการคัดลอกที่อยู่ ตรวจสอบหน้าจอ และเตรียมธุรกรรมจะให้ข้อมูลแก่มัลแวร์อย่างพอดีกับสิ่งที่มันถูกสร้างมาเพื่อดู
มัลแวร์ CryptoBandits ทำให้คลิปบอร์ดกลายเป็นเส้นทางธุรกรรมได้อย่างไร
การวิเคราะห์ของ Microsoft แสดงให้เห็นว่าเหตุใด crypto clipper จึงรุนแรงขึ้นเมื่อกองทุนอยู่ในการดูแลตนเอง หลังจากลงทะเบียนกับเซิร์ฟเวอร์ command-and-control แล้ว มัลแวร์จะเข้าสู่การวนซ้ำต่อเนื่องที่ตรวจสอบคลิปบอร์ดทุก ๆ ประมาณครึ่งวินาที
มันค้นหา seed phrase BIP39 แบบ 12 หรือ 24 คำ, Bitcoin WIF key, Ethereum key และที่อยู่สกุลเงินดิจิทัล
หากพบ seed phrase หรือ private key Microsoft ระบุว่ามัลแวร์สามารถบันทึกไว้ในเครื่องและส่งออกผ่าน Tor หากพบที่อยู่สกุลเงินดิจิทัลที่คัดลอก มันสามารถแทนที่ค่านั้นด้วยที่อยู่ที่ผู้โจมตีควบคุม
สำหรับรูปแบบที่อยู่หลายรูปแบบ Microsoft ระบุว่ามัลแวร์พยายามทำให้การแทนที่ดูคล้ายกันมากพอที่จะหลีกเลี่ยงการตรวจสอบแบบไม่รอบคอบ เช่น การจับคู่ตัวอักษรแรกของที่อยู่ Bitcoin, Tron หรือ Monero บางส่วน หรือการเปลี่ยนเฉพาะตัวอักษรสุดท้ายในที่อยู่ Bitcoin แบบ Bech32
Microsoft ถือว่าการแทนที่ที่อยู่ในคลิปบอร์ดเป็นปัญหาการขโมยกระเป๋าเงินมาหลายปีแล้ว ในรายงานปี 2022 เกี่ยวกับ cryware และ hot wallet บริษัทได้อธิบายการตัดและสลับว่าเป็นเทคนิคที่ดักจับข้อมูลกระเป๋าเงินก่อนที่ธุรกรรมจะเสร็จสิ้น
รายงาน CryptoBandits.A แสดงรูปแบบนั้นที่เชื่อมโยงกับการแพร่กระจายผ่านสื่อแบบถอดได้และทราฟฟิกคำสั่งผ่าน Tor
คำแนะนำการสนับสนุนกระเป๋าเงินอย่างเป็นทางการทำให้มุมมองด้านการดูแลรักษาชัดเจนยิ่งขึ้น เอกสารของ MetaMask ถือว่า seed phrase และ private key เป็นความลับในการควบคุมกระเป๋าเงิน และแยกกันบอกให้ผู้ใช้ยืนยันที่อยู่ผู้รับก่อนยืนยันการส่ง
CryptoBandits.A กำหนดเป้าหมายทั้งสองด้านของเวิร์กโฟลว์นั้น: ความลับที่ควบคุมกระเป๋าเงินและที่อยู่ที่รับเงิน
| พฤติกรรมที่สังเกตพบ | ความเสี่ยงด้านการดูแลรักษา | การตอบสนองเชิงปฏิบัติ |
|---|---|---|
| ไฟล์ทางลัด USB ที่เป็นอันตราย | การเปิดไฟล์ตามปกติสามารถเรียกใช้เพย์โหลดเวิร์มได้ | ปิดใช้งาน AutoRun หรือ AutoPlay ที่เป็นไปได้ และบล็อกการเรียกใช้ .lnk จากไดรฟ์แบบถอดได้ |
| การโพลคลิปบอร์ดและการแทนที่ที่อยู่ | ที่อยู่ผู้รับที่คัดลอกสามารถถูกสลับก่อนที่ธุรกรรมจะถูกส่ง | ยืนยันปลายทางทั้งหมดบนจอแสดงผลที่เชื่อถือได้ และหลีกเลี่ยงการพึ่งพาเฉพาะหน่วยความจำคลิปบอร์ด |
| การดึง seed phrase และ private key | ความลับในการควบคุมกระเป๋าเงินสามารถออกจากอุปกรณ์ปลายทางก่อนที่การเคลื่อนไหวบนเชนใด ๆ จะเกิดขึ้น | เก็บเอกสารการกู้คืนออกจากเครื่องที่เชื่อมต่อเครือข่าย และถือว่าการเปิดเผยเป็นเหตุการณ์ rotation กระเป๋าเงิน |
| การอัปโหลดภาพหน้าจอ | ผู้โจมตีสามารถเห็นบริบทกระเป๋าเงิน ยอดเงิน หรือเวิร์กโฟลว์การกู้คืน | หลีกเลี่ยงการแสดงเนื้อหากระเป๋าเงินที่ละเอียดอ่อนบนเครื่องที่ใช้งานทั่วไป |
| ทราฟฟิกคำสั่งผ่าน Tor ที่ localhost:9050 | การบล็อกตามปลายทางยากขึ้นเนื่องจากทราฟฟิกถูกส่งผ่าน local proxy | ค้นหาสายโซ่ script-to-network, กิจกรรม curl และพฤติกรรม local SOCKS5 proxy |
Hardware wallet ทิ้งความเสี่ยงของอุปกรณ์ปลายทางไว้ในเวิร์กโฟลว์
นี่คือคำเตือนเฉพาะอุปกรณ์ปลายทางเกี่ยวกับอุปกรณ์รอบ ๆ กระเป๋าเงิน การแยก private key ออกจากกันยังคงเป็นหนึ่งในการป้องกันที่แข็งแกร่งที่สุดต่อการโจมตีกระเป๋าเงินทั่วไปหลายรูปแบบ
สมมติฐานที่อ่อนแอคือการป้องกันฮาร์ดแวร์ครอบคลุมทุกขั้นตอนในธุรกรรม Hardware wallet สามารถปกป้อง signing key ได้ แต่ไม่สามารถทำให้คลิปบอร์ดของคอมพิวเตอร์ที่ถูกโจมตีน่าเชื่อถือได้ หากผู้ใช้คัดลอกที่อยู่ฝากของ exchange ที่อยู่การชำระเงิน หรือที่อยู่การโอนคลังบนเครื่องที่ติดเชื้อ มัลแวร์อาจเปลี่ยนค่านั้นก่อนที่ผู้ใช้จะวาง
หากผู้ใช้ตรวจสอบเพียงไม่กี่ตัวอักษรที่คุ้นเคย ที่อยู่แทนที่ที่ออกแบบมาให้ดูคล้ายกันอาจยังผ่านการตรวจสอบแบบรีบเร่ง
Seed phrase สร้างโหมดความล้มเหลวที่ร้ายแรงยิ่งขึ้น วลีการกู้คืนที่พิมพ์หรือคัดลอกผ่านเครื่อง Windows ที่ถูกโจมตีกลายเป็นความเสี่ยงการโจมตีระยะไกล
Microsoft ระบุว่ามัลแวร์สามารถระบุวลีแบบ BIP39 และส่งออกไปยังเซิร์ฟเวอร์ command-and-control เมื่อความลับประเภทนี้ถูกเปิดเผย ความเสี่ยงจะขยายออกไปเกินกว่าการโอนเงินครั้งเดียวที่พยายาม
สำหรับบุคคล สุขอนามัยกระเป๋าเงินเป็นส่วนหนึ่งของสุขอนามัยอุปกรณ์ สำหรับกองทุนที่จัดการโดยทีม ขั้นตอนการดูแลรักษาจำเป็นต้องถือว่าพฤติกรรมของอุปกรณ์ปลายทางเป็นส่วนหนึ่งของกระบวนการอนุมัติธุรกรรม
เครื่องที่ใช้ตรวจสอบยอดเงิน เตรียมการโอน เชื่อมต่อสินทรัพย์ หรือย้ายเงินจาก exchange ควรมีโปรไฟล์ความเสี่ยงที่แตกต่างจากเวิร์กสเตชันที่เปิดสื่อแบบถอดได้ที่ไม่รู้จัก
มาตรฐานที่มีประโยชน์คือการแยกกัน อุปกรณ์ที่จัดการกิจกรรมกระเป๋าเงินควรมีเหตุผลน้อยกว่าในการรันสคริปต์ เปิดทางลัดจากไดรฟ์ USB หรือคัดลอกเอกสารการกู้คืนผ่านคลิปบอร์ด
เมื่อเวิร์กโฟลว์ขึ้นอยู่กับการคัดลอกและวาง ปลายทางที่แสดงบนอุปกรณ์ลงนามหรือจอแสดงผลที่เชื่อถือได้มีน้ำหนักมากกว่าที่อยู่ที่แสดงในเบราว์เซอร์หรือหน้าต่างแชท
หากเวิร์กสเตชันถูกสงสัยว่าถูกเปิดเผย การตอบสนองก็เปลี่ยนแปลงเช่นกัน การเปิดเผยอาจรวมถึงมากกว่าแค่ที่อยู่ที่ไม่ถูกต้องในธุรกรรมที่รอดำเนินการรายการเดียว
อาจรวมถึงเอกสารการกู้คืน private key ภาพหน้าจอ และการเรียกใช้คำสั่งบนเครื่องเดียวกัน สิ่งนั้นผลักดันการแก้ไขไปสู่การแยกอุปกรณ์ปลายทาย การ rotate เอกสารกระเป๋าเงินที่ถูกเปิดเผย และการตรวจสอบการโอนใด ๆ ที่เตรียมบนอุปกรณ์นั้น
การตรวจจับขึ้นอยู่กับสัญญาณเชิงพฤติกรรม
คำแนะนำการบรรเทาของ Microsoft มุ่งเน้นที่พฤติกรรม บริษัทแนะนำให้ปิดใช้งาน AutoRun และ AutoPlay สำหรับสื่อแบบถอดได้ บล็อกการเรียกใช้ .lnk จากไดรฟ์แบบถอดได้ผ่าน Group Policy ที่เป็นไปได้ จำกัดการใช้งาน script host ที่ไม่จำเป็น เช่น wscript.exe และ cscript.exe และตรวจสอบกฎ Attack Surface Reduction สำหรับสคริปต์ที่ถูกทำให้สับสนและสายโซ่กระบวนการย่อยที่น่าสงสัย
สำหรับทีมรักษาความปลอดภัย สัญญาณที่แข็งแกร่งที่สุดคือเชิงพฤติกรรม Microsoft ระบุว่าผู้ป้องกันควรตรวจสอบกรณีที่ script engine เรียกใช้เครื่องมือ เช่น curl, cmd.exe, PowerShell หรือ executable ที่ไม่คาดคิด
ยังเน้นถึงกิจกรรม local SOCKS5 proxy บน localhost:9050 พฤติกรรมที่เกี่ยวข้องกับคลิปบอร์ด และกิจกรรมการจับภาพหน้าจอ PowerShell บนอุปกรณ์ที่จัดการเวิร์กโฟลว์ทางการเงินที่ละเอียดอ่อน
สัญญาณเหล่านั้นสอดคล้องกับเทคนิค ATT&CK มาตรฐานหลายรายการ รวมถึงการรวบรวมข้อมูลคลิปบอร์ด command-and-control ผ่าน proxy และความคงอยู่ของ scheduled task
Microsoft Defender ยังระบุความสามารถในการตรวจจับสำหรับ CryptoBandits รวมถึง Trojan:Win32/CryptoBandits.A และการตรวจจับ JavaScript ที่เกี่ยวข้อง พร้อมด้วยการครอบคลุม EDR สำหรับกระบวนการ JavaScript ที่น่าสงสัย การส่งออกผ่าน curl และกิจกรรม Task Scheduler
รายงานของ Microsoft ไม่เปิดเผยจำนวนเหยื่อ ยอดการขโมยที่ยืนยันแล้ว การกระจายทางภูมิศาสตร์ และการระบุตัวตนผู้กระทำ สิ่งนี้จำกัดการอ้างสิทธิ์ใด ๆ เกี่ยวกับขนาดของความเสียหายทางการเงิน
บทเรียนด้านการดูแลรักษาขึ้นอยู่กับพฤติกรรมที่สังเกตพบ: เวิร์กโฟลว์กระเป๋าเงินสามารถถูกโจมตีได้ก่อนที่ธุรกรรมจะถึงเชน
บทสรุปทันทีคือผู้ใช้คริปโตและผู้ดำเนินการควรถือว่าอุปกรณ์ปลายทางเป็นส่วนหนึ่งของ wallet stack การควบคุม USB การจำกัดสคริปต์ การยืนยันที่อยู่ และวินัยในการใช้คลิปบอร์ดเป็นส่วนหนึ่งของการรักษาความปลอดภัยแบบ self-custody
สิ่งเหล่านี้คือเส้นทางที่ธุรกรรมใช้ก่อนที่จะถึงเชน
บทความ มัลแวร์ CryptoBandits ให้อาชญากรใช้ไดรฟ์ USB ของคุณเพื่อเข้าถึงกระเป๋าเงินคริปโต – Microsoft เตือน ปรากฏครั้งแรกบน CryptoSlate
คุณอาจชอบเช่นกัน
ไม่ใช่ช่องโหว่: การควบคุมการส่งออก AI ของสิงคโปร์ทำให้จีนเข้าถึง AI ของสหรัฐฯ ได้อย่างถูกกฎหมาย
Bitcoin Perpetual Futures: อัตราส่วน Long/Short บนกระดานเทรดชั้นนำ
ระบบนิเวศโทเค็น LAB: แพลตฟอร์มการซื้อขายแบบหลายเชนและคู่มือรางวัล
