Crypto Clipper Windowsi rünnakukampaania

Turvauurijad on avalikustanud üksikasju keeruka Windowsi-põhise krüptovaluutade lõikamisoperatsiooni kohta, mis on olnud aktiivne alates 2026. aasta veebruarist. Kampaania kasutab lõikelaua jälgivat pahavara, mis on võimeline ise levima ja varjab oma sideinfrastruktuuri Tori anonüümsusvõrgustikku.

Erinevalt tavapärastest pahavara toimingutest, mis tuginevad standardsetele installijatele või avalikult kättesaadavatele Command-and-Control (C2) serveritele, kasutab see oht kaasaskantavat Tor-klienti ja suunab kogu liikluse läbi kohaliku SOCKS5 puhverserveri. Kombineerides krüptovaluuta varguse, andmete väljaviimise ja kaugkoodi käivitamise võimalused, toimib pahavara mitte ainult piirajana, vaid ka kerge tagauksena.

Kuidas Clipperi pahavara töötab

Clipperi pahavara on loodud ohvri lõikelaua tegevuse vaikseks jälgimiseks ja mällu kopeeritud tundliku teabe pealtkuulamiseks. Selle peamine eesmärk on krüptovaluutatehingutega manipuleerimine, tuvastades teadaolevate plokiahela formaatidega seotud rahakoti aadresse ja asendades need ründaja kontrollitavate alternatiividega. Selle tulemusel saab seaduslikele saajatele mõeldud raha ohvri teadmata ümber suunata.

See kampaania tugineb Windows Script Hostile ja ActiveX-põhisele funktsionaalsusele, et käivitada manustatud Tor-proksi ja suhelda varjatud teenusega C2-serveriga. Pahavara teostab pidevat lõikelaua jälgimist, jäädvustab ekraanipilte, varastab krüptovaluutaga seotud teavet ja asendab reaalajas rahakoti aadresse.

USB-põhine nakkusahel ja ussi funktsionaalsus

Rünnak algab pahatahtlike Windowsi otseteede (LNK) failide levitamisega eemaldatavate USB-mäluseadmete kaudu. Kui ohver avab ühe neist otseteedest, aktiveeritakse ussikomponent. Pahavara tuvastab kõigepealt, kas süsteem on juba nakatunud, ja laadib ülejäänud sisu alla ainult siis, kui varasemat nakatumist ei tuvastata.

LNK-i kasulik koormus otsib aktiivselt ühendatud USB-seadmetest levinud dokumendivorminguid, sealhulgas DOC-, XLSX- ja PDF-faile. Kui need failid on avastatud, peidetakse need ja asendatakse pahatahtlike otseteefailidega, millel on identsed nimed. See petlik tehnika suurendab tõenäosust, et kasutajad käivitavad teadmatult pahavara, püüdes avada pealtnäha seaduslikku dokumenti.

Lisaks esialgsele nakatumisele levitab uss nakkust ka teistele nakatumata USB-seadmetele. Samuti loob see püsivuse, luues ajastatud ülesandeid nii ussi kui ka varastavate komponentide jaoks.

Täiustatud põgenemine ja püsiv käskude täitmine

Clipperi komponent kasutab operatsioonisüsteemiga otseseks suhtlemiseks WScripti ja ActiveXObjecti. Avastamise tõenäosuse vähendamiseks kontrollib pahavara aktiivseid protsesse ja lõpetab töö, kui tegumihaldur töötab.

Täitmise viimases etapis käivitatakse peidetud aknas ümbernimetatud Tori binaarfail. Seejärel genereerib pahavara unikaalse ohvri identifikaatori ja registreerib selle oma kauginfrastruktuuris. Pärast registreerimist siseneb see pidevasse töötsüklisse, küsitledes C2 serverilt käske ja jälgides lõikelaua sisu umbes iga 500 millisekundi järel.

Lisaks krüptovaluuta rahakoti andmete, algsete fraaside ja privaatvõtmete kogumisele jäädvustab pahavara ekraanipilte ja edastab need Tor-võrgu kaudu. Kui C2-server vastab EVAL-käsuga, käivitatakse ründaja edastatud kood ohustatud süsteemis dünaamiliselt, laiendades oluliselt ohu võimekust.

Põhinäitajad ja kaitsemeetmed

Turvameeskondadel soovitatakse keskenduda käitumuslikele tuvastamistehnikatele, mitte loota ainult staatiliste pahavara signatuuride abil tuvastamisele. Erilist tähelepanu tuleks pöörata kahtlasele PowerShelli-põhisele ekraanipildi tegemisele ja Windowsi skriptimismootorite (nt WScript või CScript) ebatavalisele kasutamisele utiliitide (sh curl, cmd.exe, PowerShell või muude ootamatute käivitatavate failide) käivitamiseks.

Soovitatavad kaitsemeetmed hõlmavad järgmist:

• Kõigi eemaldatavate andmekandjate automaatkäivituse ja automaatesituse funktsioonide keelamine, LNK-failide käivitamise blokeerimine USB-seadmetest rühmapoliitika objektide (GPO) kaudu ning wscript.exe ja cscript.exe tarbetu kasutamise piiramine.
• Jälgimissüsteemid, mis tegelevad finants- või krüptovaluutaga seotud toimingutega, et tuvastada ebanormaalset lõikelaua tegevust, volitamata ekraanipiltide tegemist ja kahtlast Toriga seotud võrgusidet.

Miks see oht silma paistab

See kampaania demonstreerib rahaliselt motiveeritud pahavara üha keerukamaks muutumist. Kombineerides USB-põhise usside levitamise, lõikelauale varastamise, Tor-i abil hägustatud side, ekraanipiltide väljaviimise ja koodi kaugkäivitamise ühte tööriistakomplekti, on operaatorid loonud mitmekülgse ohu, mis on võimeline nii krüptovaluuta varastama kui ka säilitama pikaajalist juurdepääsu nakatunud süsteemidele. Varjatud teenuste infrastruktuuri kasutamine raskendab veelgi avastamist ja eemaldamist, muutes ennetava käitumise jälgimise kriitilise tähtsusega kaitsestrateegiaks.