Crypto Clipper Windows -hyökkäyskampanja

Tietoturvatutkijat ovat paljastaneet yksityiskohtia hienostuneesta Windows-pohjaisesta kryptovaluuttojen leikkaajaoperaatiosta, joka on ollut aktiivinen helmikuusta 2026 lähtien. Kampanja käyttää leikepöytää valvovaa haittaohjelmaa, joka pystyy leviämään itse ja hyödyntää Tor-anonymiteettiverkkoa peittääkseen viestintäinfrastruktuurinsa.

Toisin kuin perinteiset haittaohjelmaoperaatiot, jotka perustuvat tavallisiin asennusohjelmiin tai julkisesti paljastuneisiin komento- ja hallintapalvelimiin (C2), tämä uhka käyttää kannettavaa Tor-asiakasohjelmaa ja reitittää kaiken liikenteen paikallisen SOCKS5-välityspalvelimen kautta. Yhdistämällä kryptovaluuttojen varastamisen, tietojen vuotamisen ja etäkoodin suorittamisen, haittaohjelma toimii paitsi klipperinä myös kevyenä takaporttina.

Miten Clipper-haittaohjelma toimii

Clipper-haittaohjelma on suunniteltu valvomaan hiljaisesti uhrin leikepöydän toimintaa ja sieppaamaan muistiin kopioituja arkaluonteisia tietoja. Sen ensisijainen tavoite on manipuloida kryptovaluuttatapahtumia tunnistamalla tunnettuihin lohkoketjumuotoihin liittyviä lompakko-osoitteita ja korvaamalla ne hyökkääjän hallitsemilla vaihtoehdoilla. Tämän seurauksena laillisille vastaanottajille tarkoitetut varat voidaan uudelleenohjata uhrin tietämättä.

Tämä kampanja perustuu Windows Script Hostin ja ActiveX-pohjaisten toimintojen käyttöön käynnistääkseen sulautetun Tor-välityspalvelimen ja kommunikoidakseen piilotetun C2-palvelimen kanssa. Haittaohjelma suorittaa jatkuvaa leikepöydän valvontaa, ottaa kuvakaappauksia, varastaa kryptovaluuttaan liittyviä tietoja ja korvaa lompakoiden osoitteita reaaliajassa.

USB-pohjainen tartuntaketju ja mato-toiminnallisuus

Hyökkäys alkaa haitallisten Windows-pikakuvakkeiden (LNK) levittämisellä irrotettavien USB-tallennuslaitteiden kautta. Kun uhri avaa jonkin näistä pikakuvakkeista, mato-komponentti aktivoituu. Haittaohjelma selvittää ensin, onko järjestelmä jo saanut tartunnan, ja lataa jäljellä olevan hyötysisällön vain, jos aiempaa tartuntaa ei havaita.

LNK-hyötykuorma etsii aktiivisesti liitetyiltä USB-laitteilta yleisesti käytettyjä asiakirjamuotoja, kuten DOC-, XLSX- ja PDF-tiedostoja. Kun tiedostot löydetään, ne piilotetaan ja korvataan haitallisilla pikakuvakkeilla, joilla on identtiset nimet. Tämä harhaanjohtava tekniikka lisää todennäköisyyttä, että käyttäjät tietämättään suorittavat haittaohjelman yrittäessään avata näennäisesti laillista asiakirjaa.

Alkuperäisen tartunnan lisäksi mato levittää tartuntaa muihin tartuttamattomiin USB-laitteisiin. Se myös varmistaa tartunnan pysyvyyden luomalla ajoitettuja tehtäviä sekä mato- että varastavalle komponentille.

Edistynyt väistö ja jatkuva komentojen suorittaminen

Clipper-komponentti käyttää WScriptiä ja ActiveXObjectia ollakseen suoraan vuorovaikutuksessa käyttöjärjestelmän kanssa. Vähentääkseen havaitsemisen todennäköisyyttä haittaohjelma tarkistaa aktiiviset prosessit ja lopettaa toimintansa, jos Tehtävienhallinta on käynnissä.

Suorituksen viimeisessä vaiheessa uudelleennimetty Tor-binääritiedosto käynnistetään piilotetussa ikkunassa. Haittaohjelma luo sitten yksilöllisen uhritunnisteen ja rekisteröi sen etäinfrastruktuuriinsa. Rekisteröinnin jälkeen se siirtyy jatkuvaan toimintasilmukkaan, jossa se kyselee C2-palvelimelta komentoja ja tarkkailee leikepöydän sisältöä noin 500 millisekunnin välein.

Kryptovaluuttalompakoiden tietojen, seed-lausekkeiden ja yksityisten avainten keräämisen lisäksi haittaohjelma ottaa kuvakaappauksia ja siirtää niitä Tor-verkon kautta. Jos C2-palvelin vastaa EVAL-komennolla, hyökkääjän toimittama koodi suoritetaan dynaamisesti vaarantuneessa järjestelmässä, mikä laajentaa merkittävästi uhan ominaisuuksia.

Keskeiset indikaattorit ja puolustussuositukset

Tietoturvatiimejä kehotetaan keskittymään käyttäytymiseen perustuviin tunnistustekniikoihin sen sijaan, että luottaisivat pelkästään staattisiin haittaohjelmatunnistuksiin. Erityistä huomiota tulisi kiinnittää epäilyttäviin PowerShell-pohjaisiin näyttökuvakaappauksiin ja Windowsin komentosarjamoottoreiden, kuten WScriptin tai CScriptin, epätavalliseen käyttöön apuohjelmien, kuten curlin, cmd.exe:n, PowerShellin tai muiden odottamattomien suoritettavien tiedostojen, käynnistämiseen.

Suositeltuihin puolustustoimenpiteisiin kuuluvat:

• Automaattisen käynnistyksen ja toiston poistaminen käytöstä kaikissa irrotettavissa tietovälineissä, LNK-tiedostojen suorittamisen estäminen USB-laitteista ryhmäkäytäntöobjektien (GPO) avulla ja wscript.exe- ja cscript.exe-tiedostojen tarpeettoman käytön rajoittaminen.
• Talous- tai kryptovaluuttaan liittyviä toimintoja käsittelevien järjestelmien valvonta epänormaalin leikepöydän toiminnan, luvattoman näyttökaappaustoiminnan ja epäilyttävän Toriin liittyvän verkkoliikenteen varalta.

Miksi tämä uhka erottuu joukosta

Tämä kampanja osoittaa taloudellisesti motivoituneiden haittaohjelmien kasvavaa monimutkaisuutta. Yhdistämällä USB-pohjaisen matojen levittämisen, leikepöydän kaappauksen, Tor-hämärretyn tietoliikenteen, kuvakaappausten varastamisen ja koodin etäsuorittamisen yhdeksi työkaluksi operaattorit ovat luoneet monipuolisen uhan, joka kykenee sekä varastamaan kryptovaluuttavaroja että ylläpitämään pitkäaikaista pääsyä tartunnan saaneisiin järjestelmiin. Piilotettujen palveluiden infrastruktuurin käyttö vaikeuttaa entisestään havaitsemis- ja poistotoimia, mikä tekee ennakoivasta käyttäytymisen seurannasta kriittisen puolustusstrategian.