CryptoBandits मैलवेयर अपराधियों को क्रिप्टो वॉलेट तक पहुंचने के लिए आपके USB ड्राइव का उपयोग करने देता है – Microsoft ने चेतावनी दी

Microsoft के नवीनतम क्रिप्टो मैलवेयर शोध में क्रिप्टो वॉलेट को सेल्फ-कस्टडी की एक प्रमुख व्यावहारिक कमज़ोरी के रूप में इंगित किया गया है, जो उन कई स्थानों में से एक है जहाँ कोई लेन-देन विफल हो सकता है।

एक समझौता किया गया Windows मशीन उस पते को बदल सकता है जिसे उपयोगकर्ता कॉपी करता है, ट्रांसफर साइन होने से पहले सीड फ्रेज़ उजागर कर सकता है, या स्क्रीनशॉट और वॉलेट संदर्भ को किसी हमलावर के पास भेज सकता है।

17 जून की Security Blog रिपोर्ट में, Microsoft ने कहा कि CryptoBandits मैलवेयर, जिसे "CryptoBandits.A" के रूप में पहचाना गया है, फरवरी 2026 से सक्रिय है और USB स्टोरेज डिवाइस पर दुर्भावनापूर्ण Windows शॉर्टकट फ़ाइलों के माध्यम से सिस्टम तक पहुँच चुका है।

यह मैलवेयर वॉलेट सीक्रेट भी चुराता है, कॉपी किए गए पतों को बदल देता है, और Tor के माध्यम से कमांड-एंड-कंट्रोल इंफ्रास्ट्रक्चर से संवाद करता है। Microsoft ने कहा कि यह लगभग हर 500 मिलीसेकंड में क्लिपबोर्ड की निगरानी करता है और सीड फ्रेज़, प्राइवेट की और वॉलेट पतों की तलाश करता है।

हार्डवेयर वॉलेट, पते की जाँच और सीड फ्रेज़ अनुशासन आवश्यक नियंत्रण बने हुए हैं। लेकिन अगर वॉलेट वर्कफ़्लो को संभालने वाला एंडपॉइंट समझौता हो जाता है, तो हमलावर सीक्रेट देख सकता है, गंतव्य बदल सकता है, या उपयोगकर्ता को कुछ गलत होने का एहसास होने से पहले ही स्क्रीन देख सकता है।

CryptoSlate ने इससे पहले भी वॉलेट चुराने के समान पैटर्न को कवर किया है, जिसमें ClipBanker-शैली के पते प्रतिस्थापन और Microsoft से जुड़े वॉलेट मैलवेयर शामिल हैं। Microsoft की रिपोर्ट में नया तत्व USB प्रसार, क्लिपबोर्ड चोरी, Tor-रूटेड नियंत्रण और व्यवहार का पता लगाने के लिए परिचालन मार्गदर्शन का संयोजन है।

CryptoBandits मैलवेयर किस प्रकार USB शॉर्टकट को एक्ज़ीक्यूशन में बदलता है

Microsoft ने कहा कि प्रारंभिक पहुँच दुर्भावनापूर्ण .lnk फ़ाइलों के माध्यम से होती है, जिसमें USB स्टोरेज डिवाइस पर वितरित शॉर्टकट शामिल हैं। Microsoft द्वारा विश्लेषण किए गए मामलों में, शॉर्टकट एक वर्म घटक को चरणबद्ध करता है।

इसके बाद मैलवेयर USB ड्राइव को सामान्य दस्तावेज़ फ़ाइलों जैसे .doc, .xlsx और .pdf के लिए स्कैन करता है, मूल फ़ाइलों को छुपा देता है, और उन्हीं फ़ाइल नामों के साथ नई शॉर्टकट फ़ाइलें बनाता है।

परिणाम एक परिचित जाल है: एक उपयोगकर्ता सोचता है कि वे हटाने योग्य मीडिया से कोई दस्तावेज़ खोल रहे हैं, लेकिन वे वास्तव में वर्म पेलोड लॉन्च कर रहे हैं। यह व्यवहार उस व्यापक सुरक्षा पैटर्न से मेल खाता है जिसे MITRE ATT&CK हटाने योग्य मीडिया के माध्यम से प्रतिकृति के रूप में वर्णित करता है, लेकिन क्रिप्टो-विशिष्ट परिणाम अधिक प्रत्यक्ष है।

साइनिंग, कॉपी करने या वॉलेट विवरण जाँचने के लिए उपयोग की जाने वाली मशीन अटैक सर्फेस का हिस्सा बन जाती है।

एक बार जब दुर्भावनापूर्ण शॉर्टकट चलता है, तो Microsoft ने कहा कि मैलवेयर C:\Users\Public\Documents के अंतर्गत अस्पष्ट JavaScript पेलोड डालता है, दृढ़ता के लिए शेड्यूल किए गए कार्यों का उपयोग करता है, और एक कार्य को नए डाले गए USB ड्राइव में फैलने पर केंद्रित रखता है। एक अन्य कार्य स्टीलर गतिविधि चलाता है।

हमला अक्सर सामान्य फ़ाइल हैंडलिंग से शुरू होता है। एक साझा USB ड्राइव, एक कॉपी की गई फ़ाइल, या पुरानी हटाने योग्य मीडिया की आदत वॉलेट सॉफ़्टवेयर खुलने से पहले ही वॉलेट-हैंडलिंग एंडपॉइंट को असुरक्षित स्थिति में डाल सकती है।

यह नियमित हटाने योग्य मीडिया उपयोग को किसी भी उस डिवाइस के लिए USB मैलवेयर जोखिम में बदल देता है जो बाद में वॉलेट वर्कफ़्लो को स्पर्श करता है।

हालाँकि, रोकथाम के तरीके व्यावहारिक हैं। जोखिम का क्षण शॉर्टकट एक्ज़ीक्यूशन और उसके बाद की दृढ़ता है, वॉलेट क्रिया शुरू होने से पहले।

क्रिप्टो स्थानांतरित करने वाले व्यक्ति या टीम के लिए, जो डिवाइस हटाने योग्य मीडिया खोलता है वही बाद में डिपॉज़िट पता कॉपी कर सकता है, रिकवरी वर्कफ़्लो प्रदर्शित कर सकता है, या ट्रेज़री ट्रांसफर तैयार कर सकता है।

वॉलेट संचालन के लिए, हटाने योग्य मीडिया नीति कस्टडी संचालन का हिस्सा बन जाती है। एक उपयोगकर्ता या डेस्क जो साइनिंग वर्कस्टेशन को सामान्य-उद्देश्य वाले कंप्यूटर के रूप में मानता है, उस मशीन से जुड़े हर दस्तावेज़ वर्कफ़्लो के जोखिम विरासत में लेता है।

वॉलेट गतिविधि के लिए उपयोग किए जाने वाले डिवाइसों को अविश्वसनीय शॉर्टकट, स्क्रिप्ट और पेलोड निष्पादित करने के कम तरीकों की आवश्यकता है।

हमला एक Windows शॉर्टकट समस्या के रूप में शुरू होता है और फिर वॉलेट-कंट्रोल समस्या बन जाता है। एक बार एंडपॉइंट से समझौता हो जाने पर, उपयोगकर्ता का पते कॉपी करने, स्क्रीन जाँचने और लेन-देन तैयार करने का सामान्य क्रम मैलवेयर को ठीक वही सामग्री देता है जिसे देखने के लिए वह बनाया गया था।

CryptoBandits मैलवेयर किस प्रकार क्लिपबोर्ड को लेन-देन पथ बनाता है

Microsoft का विश्लेषण दर्शाता है कि जब फंड सेल्फ-कस्टडीड होते हैं तो क्रिप्टो क्लिपर क्यों गंभीर हो जाता है। अपने कमांड-एंड-कंट्रोल सर्वर के साथ पंजीकरण करने के बाद, मैलवेयर एक सतत लूप में प्रवेश करता है जो लगभग हर आधे सेकंड में क्लिपबोर्ड की जाँच करता है।

यह 12- या 24-शब्द BIP39 सीड फ्रेज़, Bitcoin WIF की, Ethereum की और क्रिप्टोकरेंसी पतों की खोज करता है।

यदि इसे कोई सीड फ्रेज़ या प्राइवेट की मिलती है, तो Microsoft ने कहा कि मैलवेयर इसे स्थानीय रूप से सहेज सकता है और Tor के माध्यम से एक्सफिल्ट्रेट कर सकता है। यदि यह कोई कॉपी किया गया क्रिप्टोकरेंसी पता देखता है, तो यह उस मान को हमलावर-नियंत्रित पते से बदल सकता है।

कई पते प्रारूपों के लिए, Microsoft ने कहा कि मैलवेयर प्रतिस्थापन को सरसरी जाँच से बचने के लिए पर्याप्त समान दिखाने की कोशिश करता है, जैसे कि कुछ Bitcoin, Tron या Monero पतों के पहले अक्षरों का मिलान करना, या कुछ Bech32-शैली के Bitcoin पतों में केवल अंतिम अक्षर बदलना।

Microsoft ने वर्षों से क्लिपबोर्ड पते प्रतिस्थापन को वॉलेट-चोरी की समस्या के रूप में माना है। 2022 की क्रिप्टोवेयर और हॉट वॉलेट पर एक रिपोर्ट में, कंपनी ने क्लिपिंग और स्विचिंग को उन तकनीकों के रूप में वर्णित किया जो लेन-देन पूरा होने से पहले वॉलेट डेटा को इंटरसेप्ट करती हैं।

CryptoBandits.A रिपोर्ट उस पैटर्न को हटाने योग्य मीडिया प्रसार और Tor-आधारित कमांड ट्रैफ़िक से जोड़ती है।

आधिकारिक वॉलेट सहायता मार्गदर्शन कस्टडी पहलू को तीव्र करता है। MetaMask का दस्तावेज़ीकरण सीड फ्रेज़ और प्राइवेट की को वॉलेट-कंट्रोल सीक्रेट के रूप में मानता है और अलग से उपयोगकर्ताओं को भेजने की पुष्टि करने से पहले प्राप्तकर्ता पतों को सत्यापित करने के लिए कहता है।

CryptoBandits.A उस वर्कफ़्लो के दोनों पक्षों को लक्षित करता है: वह सीक्रेट जो वॉलेट को नियंत्रित करता है और वह पता जो फंड प्राप्त करता है।

हार्डवेयर वॉलेट वर्कफ़्लो में एंडपॉइंट जोखिम छोड़ते हैं

यह वॉलेट के आसपास के डिवाइस के बारे में एक विशिष्ट एंडपॉइंट चेतावनी है। प्राइवेट की को अलग रखना कई सामान्य वॉलेट हमलों के खिलाफ सबसे मजबूत बचावों में से एक बना हुआ है।

एक कमज़ोर धारणा यह है कि हार्डवेयर सुरक्षा किसी लेन-देन के हर चरण को कवर करती है। हार्डवेयर वॉलेट साइनिंग की को सुरक्षित कर सकते हैं, लेकिन वे एक समझौता किए गए कंप्यूटर के क्लिपबोर्ड को विश्वसनीय नहीं बना सकते। यदि कोई उपयोगकर्ता किसी संक्रमित मशीन पर एक्सचेंज डिपॉज़िट पता, भुगतान पता, या ट्रेज़री ट्रांसफर पता कॉपी करता है, तो उपयोगकर्ता द्वारा पेस्ट करने से पहले मैलवेयर मान बदल सकता है।

यदि उपयोगकर्ता केवल कुछ परिचित अक्षरों की जाँच करता है, तो समान दिखने के लिए डिज़ाइन किया गया प्रतिस्थापन पता फिर भी जल्दबाज़ी में की गई समीक्षा से गुज़र सकता है।

सीड फ्रेज़ अधिक गंभीर विफलता मोड बनाते हैं। एक समझौता किए गए Windows मशीन में टाइप या उसके माध्यम से कॉपी की गई रिकवरी फ्रेज़ एक रिमोट समझौता जोखिम बन जाती है।

Microsoft ने कहा कि मैलवेयर BIP39-शैली के फ्रेज़ की पहचान कर सकता है और उन्हें कमांड-एंड-कंट्रोल सर्वर पर एक्सफिल्ट्रेट कर सकता है। एक बार उस प्रकार का सीक्रेट उजागर होने के बाद, जोखिम एकल प्रयास किए गए ट्रांसफर से परे फैल जाता है।

व्यक्तियों के लिए, वॉलेट स्वच्छता आंशिक रूप से डिवाइस स्वच्छता है। टीमों द्वारा प्रबंधित फंड के लिए, कस्टडी प्रक्रियाओं को एंडपॉइंट व्यवहार को लेन-देन अनुमोदन प्रक्रिया के हिस्से के रूप में मानने की आवश्यकता है।

बैलेंस जाँचने, ट्रांसफर तैयार करने, एसेट ब्रिज करने या एक्सचेंज से फंड स्थानांतरित करने के लिए उपयोग की जाने वाली मशीन का जोखिम प्रोफ़ाइल उस वर्कस्टेशन से अलग होना चाहिए जो अज्ञात हटाने योग्य मीडिया भी खोलता है।

उपयोगी मानक पृथक्करण है। एक डिवाइस जो वॉलेट गतिविधि संभालता है उसके पास स्क्रिप्ट चलाने, USB ड्राइव से शॉर्टकट खोलने, या क्लिपबोर्ड के माध्यम से रिकवरी सामग्री कॉपी करने के कम कारण होने चाहिए।

जब एक वर्कफ़्लो कॉपी-एंड-पेस्ट पर निर्भर करता है, तो साइनिंग डिवाइस या विश्वसनीय डिस्प्ले पर दिखाया गया गंतव्य ब्राउज़र या चैट विंडो में दिखाए गए पते से अधिक महत्व रखता है।

यदि किसी वर्कस्टेशन पर एक्सपोज़र का संदेह है, तो प्रतिक्रिया भी बदल जाती है। एक्सपोज़र में एकल लंबित लेन-देन में केवल एक गलत पते से अधिक शामिल हो सकता है।

इसमें रिकवरी सामग्री, प्राइवेट की, स्क्रीनशॉट और उसी मशीन पर कमांड एक्ज़ीक्यूशन शामिल हो सकते हैं। यह उपचार को एंडपॉइंट को अलग करने, उजागर वॉलेट सामग्री को रोटेट करने और उस डिवाइस पर तैयार किए गए किसी भी ट्रांसफर की समीक्षा करने की ओर धकेलता है।

पहचान व्यवहार संबंधी संकेतों पर निर्भर करती है

Microsoft का शमन मार्गदर्शन व्यवहार पर केंद्रित है। कंपनी हटाने योग्य मीडिया के लिए AutoRun और AutoPlay को अक्षम करने, जहाँ संभव हो Group Policy के माध्यम से हटाने योग्य ड्राइव से .lnk एक्ज़ीक्यूशन को ब्लॉक करने, wscript.exe और cscript.exe जैसे स्क्रिप्ट होस्ट के अनावश्यक उपयोग को प्रतिबंधित करने, और अस्पष्ट स्क्रिप्ट और संदिग्ध चाइल्ड-प्रोसेस चेन के लिए Attack Surface Reduction नियमों की समीक्षा करने की सिफारिश करती है।

सुरक्षा टीमों के लिए, सबसे मजबूत संकेत व्यवहार संबंधी हैं। Microsoft ने कहा कि रक्षकों को उन मामलों की जाँच करनी चाहिए जहाँ स्क्रिप्ट इंजन curl, cmd.exe, PowerShell, या अप्रत्याशित एक्ज़ीक्यूटेबल जैसे टूल लॉन्च करते हैं।

इसने localhost:9050 पर स्थानीय SOCKS5 प्रॉक्सी गतिविधि, क्लिपबोर्ड-संबंधित व्यवहार और संवेदनशील वित्तीय वर्कफ़्लो को संभालने वाले डिवाइस पर PowerShell स्क्रीन-कैप्चर गतिविधि को भी सूचीबद्ध किया।

वे संकेत कई मानक ATT&CK तकनीकों के साथ संरेखित होते हैं, जिसमें क्लिपबोर्ड डेटा संग्रह, प्रॉक्सी-आधारित कमांड-एंड-कंट्रोल और शेड्यूल्ड टास्क दृढ़ता शामिल हैं।

Microsoft Defender CryptoBandits के लिए पहचान क्षमता भी सूचीबद्ध करता है, जिसमें Trojan:Win32/CryptoBandits.A और संबंधित JavaScript पहचान, साथ ही संदिग्ध JavaScript प्रक्रियाओं, curl-आधारित एक्सफिल्ट्रेशन और Task Scheduler गतिविधि के लिए EDR कवरेज शामिल है।

Microsoft की रिपोर्ट पीड़ित संख्या, पुष्टि की गई चोरी के कुल, भौगोलिक वितरण और नामित-अभिनेता एट्रिब्यूशन को अज्ञात रखती है। यह वित्तीय नुकसान के पैमाने के बारे में किसी भी दावे को सीमित करता है।

कस्टडी का सबक देखे गए व्यवहार पर टिका है: एक वॉलेट वर्कफ़्लो लेन-देन के चेन तक पहुँचने से पहले समझौता हो सकता है।

तत्काल निष्कर्ष यह है कि क्रिप्टो उपयोगकर्ताओं और ऑपरेटरों को एंडपॉइंट को वॉलेट स्टैक के हिस्से के रूप में मानना चाहिए। USB नियंत्रण, स्क्रिप्ट प्रतिबंध, पते सत्यापन और क्लिपबोर्ड अनुशासन सेल्फ-कस्टडी सुरक्षा का हिस्सा हैं।

वे वह पथ हैं जो एक लेन-देन चेन तक पहुँचने से पहले लेता है।

यह पोस्ट CryptoBandits मैलवेयर अपराधियों को आपके USB ड्राइव का उपयोग करके क्रिप्टो वॉलेट तक पहुँचने देता है – Microsoft ने चेतावनी दी, पहली बार CryptoSlate पर प्रकाशित हुई।