База данных угроз Трояны Trojan.ClipBanker.BTA

Trojan.ClipBanker.BTA

К CagedTech году в Трояны году
Опубликовано:
Последнее обновление:
Перевести на:

Карта показателей угрозы

Рейтинг популярности: 26,821
Уровень угрозы: 80 % (Высокая)
Зараженные компьютеры: 1
Первый раз: September 3, 2026
Последний визит: September 24, 2026
ОС(а) Затронутые: Windows

Trojan.ClipBanker.BTA — это троянская программа для Windows, принадлежащая к семейству ClipBanker, группе вредоносных программ, предназначенных для незаметного перехвата буфера обмена Windows с целью кражи криптовалюты и других конфиденциальных данных. Как и другие угрозы в категории троянов, она устанавливается скрытно, без какого-либо явного предупреждения пользователя, и работает в фоновом режиме, чтобы как можно дольше оставаться незамеченной. Учитывая уровень опасности, к этой угрозе следует отнестись очень серьезно любому, кто подозревает ее наличие в своей системе.

Что делает Trojan.ClipBanker.BTA

После активации в системе троян Trojan.ClipBanker.BTA обычно отслеживает буфер обмена Windows на наличие определенных типов данных, чаще всего адресов криптовалютных кошельков. Когда пользователь копирует адрес кошелька для вставки в транзакцию, троян может незаметно заменить его адресом, контролируемым злоумышленниками. Поскольку адреса кошельков представляют собой длинные строки случайных символов, которые большинство людей не проверяют должным образом, жертвы часто не замечают подмены до тех пор, пока средства уже не будут отправлены по неправильному адресу. Помимо манипуляций с буфером обмена, трояны этой более широкой категории, как известно, получают обширный контроль над зараженным компьютером, что может включать кражу сохраненных паролей, изменение системных настроек и мониторинг общей активности компьютера.

Как это обычно попадает на компьютеры

Троянские программы, подобные этой, обычно распространяются обманным путем, типичным для этой категории вредоносного ПО. Наиболее распространенный вектор заражения — это вложения в электронные письма, замаскированные под безобидные файлы, включая файлы форматов .avi, .pif, .exe или даже .jpg, которые на самом деле скрывают исполняемый код. Пользователи также могут столкнуться с этим типом угроз, распространяемых в комплекте с пиратским программным обеспечением, взломанными приложениями или загруженными с ненадежных веб-сайтов. Поскольку процесс установки разработан таким образом, чтобы быть незаметным, жертвы обычно не видят никаких признаков того, что в момент заражения произошло что-то необычное.

Риски для пользователя

Основная опасность, которую представляет троян Trojan.ClipBanker.BTA, заключается в финансовых потерях, особенно для пользователей, регулярно совершающих операции с криптовалютой. Поскольку захват буфера обмена происходит мгновенно и незаметно, перенаправленные средства часто невозможно вернуть после подтверждения транзакции. В дополнение к этой прямой финансовой угрозе, наличие трояна с таким уровнем доступа к системе может привести к дальнейшим компрометирующим последствиям, включая раскрытие сохраненных учетных данных, несанкционированные изменения конфигурации системы и постоянное наблюдение за активностью пользователя на зараженном устройстве.

Признаки инфекции

Поскольку трояны типа ClipBanker созданы для скрытой работы, очевидные симптомы могут быть минимальными или отсутствовать. Однако пользователям следует проявлять осторожность, если они заметят неожиданные изменения в скопированном тексте, особенно адреса криптовалютных кошельков, которые не совпадают с исходными данными. Другие общие признаки заражения троянами включают необычное замедление работы системы, неожиданную сетевую активность, незнакомые процессы, работающие в фоновом режиме, или сообщения инструментов безопасности о несанкционированных изменениях системных настроек.

Как обеспечить свою безопасность

Чтобы снизить риск заражения, пользователям следует избегать открытия вложений в электронных письмах от неизвестных или неожиданных отправителей, даже если имена файлов кажутся знакомыми или безобидными. Загрузка программного обеспечения только из официальных или надежных источников, а также отказ от пиратских или взломанных программ также могут значительно снизить подверженность этому типу угроз. Перед совершением любой криптовалютной транзакции рекомендуется вручную проверить, что вставленный адрес кошелька точно совпадает с исходным адресом. Поддержание операционной системы и установленных приложений в актуальном состоянии, регулярное резервное копирование и использование надежного программного обеспечения для сканирования угроз — все это практические шаги, которые помогают защититься от Trojan.ClipBanker.BTA и подобных вредоносных программ.

Аналитический отчет

Главная Информация

Фамилия: Trojan.ClipBanker.BTA
Статус подписи: No Signature

Известные образцы

MD5: 3ccda8212a549979cb8d83a5665f25f3
ША1: 8114f40095c9bc9022f949243c636fa0802bca66
SHA256: 1A3BA01A13F108345D81439858ADCEA3247A2E51DD98AC7BA265A762629FDFB4
Размер файла: 48.88 KB, 48884 байт
MD5: af76da1b01542a5178997df4cfd75f5f
ША1: 32ca2271520b0c4598095a10d9fc401435fe8b1e
SHA256: 2DF7BD58525F7BBA81F3D8DBD4151EA74031D29E9B9C3A07B9AA45D2B358AE67
Размер файла: 48.88 KB, 48884 байт

Атрибуты исполняемого файла Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have resources
  • File doesn't have security information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Показать больше
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Характеристики файла

  • No Version Info
  • x64

Информация о блоке

Всего блоков: 125
Потенциально вредоносные блоки: 80
Блоки, внесенные в белый список: 45
Неизвестные блоки: 0

Визуальная карта

x 0 x x x x x x x x x x 0 x x x x 0 0 0 x 0 x x x x x 0 0 0 0 0 x 0 x x x x x x x 0 x 0 x x 0 x x 0 0 x 0 0 0 x x x 0 x x x 0 x x 0 0 x x x 0 x 0 x 0 x 0 x x x x 0 x 0 0 0 0 0 0 x x 0 x x 0 x x 0 x x 0 x x 0 x x x x x 0 x x 0 x 0 x x 0 x x x x x x 0
0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

  • ClipBanker.BTA

Файлы изменены

Файл Атрибуты
c:\users\user\appdata\local\microsoft\windows\security\health\healthservice.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\runtimebroker\runtimebroker.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\searchindex\searchindexer.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Изменения в реестре

Ключ::Значение Данные Название API
HKCU\software\microsoft\windows\currentversion\run::runtimebroker C:\Users\Umfmkcxg\AppData\Roaming\Microsoft\Windows\RuntimeBroker\RuntimeBroker.exe RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::securityhealth C:\Users\Umfmkcxg\AppData\Local\Microsoft\Windows\Security\Health\HealthService.exe RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n# �v����Bx(�1`1�1HO@V�A��H[uN$b"hk`k�q{b��P���!���� ���3�����������m�Ù��V����$�8წ���l��&M�~�=�SB1_T�Vw��R���%���������AE��D��&��$���LA*�"C��| RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::runtimebroker C:\Users\Hgbgfxds\AppData\Roaming\Microsoft\Windows\RuntimeBroker\RuntimeBroker.exe RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::securityhealth C:\Users\Hgbgfxds\AppData\Local\Microsoft\Windows\Security\Health\HealthService.exe RegNtPreCreateKey

Использование API Windows

Категория API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAreMappedFilesTheSame
  • ntdll.dll!NtClose
  • ntdll.dll!NtCopyFileChunk
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
Показать больше
  • ntdll.dll!NtCreateUserProcess
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTerminateProcess
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtTraceEvent
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtWriteVirtualMemory
  • UNKNOWN
Process Manipulation Evasion
  • NtUnmapViewOfSection