威胁数据库 特洛伊木马 Trojan.ClipBanker.GDB

Trojan.ClipBanker.GDB

通过CagedTech在 特洛伊木马
发布时间：
最后更新：
翻译为：

威胁评分卡

人气排名： 26,526
威胁级别： 80 % (高的)
受感染的计算机： 4
初见： August 4, 2026
最后一次露面： October 9, 2026
受影响的操作系统： Windows

Trojan.ClipBanker.GDB是一款恶意程序，属于 ClipBanker 木马家族。该家族的威胁旨在秘密监控和操纵 Windows 剪贴板，以窃取加密货币和其他敏感的金融数据。与其他木马一样，它被设计成在后台静默运行，用户不会察觉到它正在执行有害功能。由于它可能给受害者造成直接的经济损失，因此被标记为高风险威胁，危险等级为 8（满分 10 分）。

Trojan.ClipBanker.GDB 的作用

Trojan.ClipBanker.GDB 的核心功能是劫持剪贴板。一旦安装，它会在用户不知情的情况下监视所有复制到 Windows 剪贴板的内容，尤其会寻找类似加密货币钱包地址的模式，例如比特币、以太坊或其他数字货币的钱包地址。当检测到用户复制了此类地址（通常是为了将其粘贴到钱包应用程序或交易网站）时，该木马会秘密地将复制的地址替换为攻击者控制的地址。如果受害者在确认交易前没有仔细检查粘贴的地址，原本应该发送给合法收款人的资金就会直接落入网络犯罪分子手中。除了操纵剪贴板之外，此类木马通常还能够在受感染的系统中建立持久性，与远程服务器通信，并可能下载其他恶意程序，从而进一步危及受害者计算机的安全和隐私。

传播方式

与此类威胁的典型特征一样，Trojan.ClipBanker.GDB 最常通过伪装成合法文档、图像或可执行文件的欺骗性电子邮件附件入侵计算机。它也可能与盗版软件、破解程序、密钥生成器或从不可靠和非官方来源下载的文件捆绑在一起。用户通常会被诱骗手动执行受感染的文件，误以为它是安全或有用的程序，从而使木马程序得以在不触发明显警告的情况下完成安装。

用户风险

这种木马程序最直接、最严重的风险在于加密货币资金的不可逆转损失，因为区块链交易一旦确认通常无法撤销。除了资金被盗之外，受感染的系统还可能面临进一步的攻击，包括安装其他恶意软件、凭证被盗以及系统控制权落入攻击者之手。与许多木马程序一样，这种感染也会降低系统的整体性能和稳定性。

感染迹象

由于剪贴板劫持程序旨在隐蔽运行，因此通常很少出现明显的症状。但是，用户可能会注意到复制的文本发生了异常变化，特别是加密货币钱包地址与原始复制的内容不符。异常的网络活动、不明原因的网络速度变慢或后台运行着陌生的进程也可能表明系统可能已被感染。

保持防护

为降低感染风险，用户应避免打开来自未知或未经核实发件人的电子邮件附件，不要从不可信来源下载软件，并在进行任何加密货币交易前，务必逐字逐句地核对复制的钱包地址。保持操作系统和所有已安装软件的更新，并定期备份数据，有助于最大限度地减少此类威胁可能造成的损失。

分析报告

一般信息

姓： Trojan.ClipBanker.GDB
签名状态： No Signature

已知样本

MD5: 1d30ff6275ebbffbfda93cac7265c491
SHA1: 3a51322ea62d3bd9db51e714a0894c6bdd2faaf5
SHA256: 595BA12751E0E9BF048E2A1DF0450D744426D8A21AFE3ED14EB273E010C351CA
文件大小: 163.84 KB,163840字节
MD5: a5df4787488f3cf1b8f862aed2f2c39d
SHA1: 6328881e326f3373b3fa813655f16511d30ba9a6
SHA256: 33DBC7F23438EADE29A526690BD266A0B48504E4BD194BECAE048BB152763ACE
文件大小: 163.84 KB,163840字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • No Version Info
  • x64

区块信息

总区块数： 560
潜在恶意块： 13
白名单区块： 546
未知区块： 1

可视化地图

0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 x x 0 x x x x x x x x x x 0 0 1 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 2 0 0 2 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • ClipBanker.GDB

文件已修改

文件 属性
c:\users\user\appdata\roaming\msedgeupdateetu.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\msedgeupdateetu.exe Synchronize,Write Attributes
c:\users\user\appdata\roaming\svchosthki.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\svchosthki.exe Synchronize,Write Attributes

注册表修改

键::值 数据 API名称
HKCU\software\microsoft\windows\currentversion\run::windowsupdatesvc C:\Users\Mgxssfzi\AppData\Roaming\svchosthki.exe RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::windowsupdatesvc C:\Users\Enlxchjk\AppData\Roaming\msedgeupdateetu.exe RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtClose
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationWorkerFactory
显示更多
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWriteFile
  • UNKNOWN
User Data Access
  • OpenClipboard