威胁数据库 特洛伊木马 Trojan.ClipBanker.BTA

Trojan.ClipBanker.BTA

通过CagedTech在 特洛伊木马
发布时间：
最后更新：
翻译为：

威胁评分卡

人气排名： 26,821
威胁级别： 80 % (高的)
受感染的计算机： 1
初见： September 3, 2026
最后一次露面： September 24, 2026
受影响的操作系统： Windows

Trojan.ClipBanker.BTA是一款基于 Windows 的木马程序，属于 ClipBanker 家族。该家族的恶意程序旨在悄无声息地劫持 Windows 剪贴板，窃取加密货币和其他敏感数据。与其他木马程序一样，它会在用户毫无察觉的情况下秘密安装，并在后台运行以尽可能长时间地逃避检测。鉴于其危险性，任何怀疑系统可能存在此威胁的用户都应高度重视。

Trojan.ClipBanker.BTA 的作用

Trojan.ClipBanker.BTA 一旦在系统中激活，通常会监视 Windows 剪贴板中的特定类型数据，最常见的是加密货币钱包地址。当用户复制钱包地址并将其粘贴到交易中时，该木马程序可以悄无声息地将其替换为攻击者控制的地址。由于钱包地址是一长串随机字符，大多数人不会仔细核对，因此受害者往往直到资金已被发送到错误的目的地才注意到地址被替换。除了操纵剪贴板之外，此类木马程序还能够获得对受感染计算机的广泛控制权，包括窃取已存储的密码、更改系统设置以及监视计算机的日常活动。

它通常是如何进入电脑的

此类木马程序通常通过此类恶意软件特有的欺骗性手段传播。最常见的感染途径是伪装成无害文件的电子邮件附件，例如 .avi、.pif、.exe 甚至 .jpg 等格式的文件，这些文件实际上隐藏着可执行代码。用户也可能在盗版软件、破解应用程序或从不可信网站下载的文件中包含此类威胁。由于安装过程旨在悄无声息地进行，受害者通常在感染时不会察觉到任何异常情况。

用户面临的风险

Trojan.ClipBanker.BTA 的主要风险在于造成经济损失，尤其对于经常进行加密货币交易的用户而言。由于剪贴板劫持是即时且隐蔽的，一旦交易确认，被转移的资金通常无法追回。除了这种直接的经济威胁外，拥有如此高系统访问权限的木马程序还会导致更严重的后果，包括泄露存储的凭证、未经授权更改系统配置以及持续监视用户在受感染设备上的活动。

感染迹象

由于 ClipBanker 类型的木马程序旨在隐蔽运行，因此可能几乎没有或根本没有明显的症状。但是，如果用户发现复制的文本出现异常更改，尤其是加密货币钱包地址与原始复制的内容不符，则应保持警惕。其他木马感染的常见警告信号包括系统运行速度异常变慢、网络活动异常、后台运行着陌生的进程，或者安全工具报告系统设置遭到未经授权的更改。

如何做好防护

为降低感染风险，用户应避免打开来自未知或意外发件人的电子邮件附件，即使文件名看起来熟悉或无害。仅从官方或信誉良好的来源下载软件，并避免使用盗版或破解程序，也能显著降低此类威胁的风险。在完成任何加密货币交易之前，最好手动验证粘贴的钱包地址是否与最初复制的地址完全一致。保持操作系统和已安装应用程序的更新、定期备份以及使用可靠的安全软件扫描威胁，这些都是有助于防御 Trojan.ClipBanker.BTA 和类似恶意程序的有效措施。

分析报告

一般信息

姓： Trojan.ClipBanker.BTA
签名状态： No Signature

已知样本

MD5: 3ccda8212a549979cb8d83a5665f25f3
SHA1: 8114f40095c9bc9022f949243c636fa0802bca66
SHA256: 1A3BA01A13F108345D81439858ADCEA3247A2E51DD98AC7BA265A762629FDFB4
文件大小: 48.88 KB,48884字节
MD5: af76da1b01542a5178997df4cfd75f5f
SHA1: 32ca2271520b0c4598095a10d9fc401435fe8b1e
SHA256: 2DF7BD58525F7BBA81F3D8DBD4151EA74031D29E9B9C3A07B9AA45D2B358AE67
文件大小: 48.88 KB,48884字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have resources
  • File doesn't have security information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
显示更多
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • No Version Info
  • x64

区块信息

总区块数： 125
潜在恶意块： 80
白名单区块： 45
未知区块： 0

可视化地图

x 0 x x x x x x x x x x 0 x x x x 0 0 0 x 0 x x x x x 0 0 0 0 0 x 0 x x x x x x x 0 x 0 x x 0 x x 0 0 x 0 0 0 x x x 0 x x x 0 x x 0 0 x x x 0 x 0 x 0 x 0 x x x x 0 x 0 0 0 0 0 0 x x 0 x x 0 x x 0 x x 0 x x 0 x x x x x 0 x x 0 x 0 x x 0 x x x x x x 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • ClipBanker.BTA

文件已修改

文件 属性
c:\users\user\appdata\local\microsoft\windows\security\health\healthservice.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\runtimebroker\runtimebroker.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\searchindex\searchindexer.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

注册表修改

键::值 数据 API名称
HKCU\software\microsoft\windows\currentversion\run::runtimebroker C:\Users\Umfmkcxg\AppData\Roaming\Microsoft\Windows\RuntimeBroker\RuntimeBroker.exe RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::securityhealth C:\Users\Umfmkcxg\AppData\Local\Microsoft\Windows\Security\Health\HealthService.exe RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n# �v����Bx(�1`1�1HO@V�A��H[uN$b"hk`k�q{b��P���!���� ���3�����������m�Ù��V����$�8წ���l��&M�~�=�SB1_T�Vw��R���%���������AE��D��&��$���LA*�"C��| RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::runtimebroker C:\Users\Hgbgfxds\AppData\Roaming\Microsoft\Windows\RuntimeBroker\RuntimeBroker.exe RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::securityhealth C:\Users\Hgbgfxds\AppData\Local\Microsoft\Windows\Security\Health\HealthService.exe RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAreMappedFilesTheSame
  • ntdll.dll!NtClose
  • ntdll.dll!NtCopyFileChunk
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
显示更多
  • ntdll.dll!NtCreateUserProcess
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTerminateProcess
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtTraceEvent
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtWriteVirtualMemory
  • UNKNOWN
Process Manipulation Evasion
  • NtUnmapViewOfSection