MicrosoftがUSBマルウェア「CryptoBandits.A」を警告：500ms間隔でシードフレーズを盗みTor送信

Microsoftは、仮想通貨ウォレットを狙うマルウェア「CryptoBandits.A」について警告しました。このマルウェアはUSBドライブ上の悪意あるショートカットファイルから広がり、クリップボードを約500ミリ秒間隔で監視します。シードフレーズ、秘密鍵、ウォレットアドレスを狙うため、ウォレット利用者にとって身近な端末リスクです。

USB経由の感染経路

CryptoBandits.Aは、USBドライブ内の悪意ある.lnkファイルを使って感染を広げます。ユーザーが通常のファイルやフォルダに見えるショートカットを開くと、端末上で不正な処理が実行されます。活動は2026年2月から確認されており、外部メディアを使う業務端末や共有PCでは特に注意が必要です。

この攻撃の怖さは、ブロックチェーン側ではなく、ウォレット操作に使う端末側を狙う点にあります。ハードウェアウォレットを使っていても、送金先アドレスを確認する画面やクリップボードが侵害されていれば、ユーザーは誤ったアドレスへ送金する危険があります。

500ミリ秒ごとのクリップボード監視

CryptoBandits.Aは、クリップボードを約500ミリ秒間隔で監視します。BIP39シードフレーズ、秘密鍵、ウォレットアドレスのような文字列を見つけると、窃取や差し替えを行います。ウォレットアドレスの差し替えでは、見た目が似た攻撃者のアドレスを使い、ユーザーが先頭や末尾だけを見て気づかない状況を狙います。

盗まれた情報は、Tor経由でC2サーバーへ送信されます。通信にTorを使うことで、攻撃者側の追跡を難しくします。Microsoft Defenderは検出対応を行っていますが、ユーザー側の操作習慣も重要です。シードフレーズをデジタル文書に保存しないこと、送金先アドレスを全文照合すること、USBメディアの自動実行や不審なショートカットを避けることが基本になります。

ウォレット防衛の実務ポイント

仮想通貨のセキュリティでは、秘密鍵の管理だけでなく、端末の清潔さが重要です。取引所やウォレットアプリの認証を強化しても、操作端末がマルウェアに感染していれば、送金先の差し替えやシードフレーズ流出が起きます。

ユーザーは、ウォレット操作用の端末を日常用途と分ける、USBメディアを不用意に接続しない、送金前にアドレスを複数箇所で確認する、といった運用を徹底する必要があります。CryptoBandits.Aは、高度なDeFiコントラクトではなく、日常的なクリップボード操作を攻撃面に変える点で、幅広いユーザーに関係する脅威です。