Microsoft avverte gli utenti di un malware “Crypto Clipper” diffuso tramite unità USB

Microsoft Threat Intelligence sta avvertendo gli utenti Windows di una variante di malware crypto clipper trasmessa tramite unità USB.

Il malware, che sta colpendo gli utenti da febbraio, ruba i dati dagli appunti per estrarre le credenziali dei wallet utilizzando “furti ad alta frequenza dagli appunti, esfiltrazione tramite screenshot e sostituzione degli indirizzi dei wallet”, ha dichiarato Microsoft mercoledì.

Il crypto clipper nasconde inoltre file legittimi e li sostituisce con scorciatoie simili, così le vittime eseguono inconsapevolmente il malware mentre una componente worm si propaga automaticamente ai dispositivi di archiviazione USB.

Questo malware è insidioso perché è più di un semplice info stealer: funziona come una backdoor, il che significa che gli attaccanti possono inviare ed eseguire codice arbitrario sui dispositivi infetti in qualsiasi momento, trasformando un semplice furto crypto in un punto di accesso persistente per ransomware.

L’esecuzione di questo clipper è inoltre degna di nota perché non dipende da un installer tradizionale né da un’infrastruttura esposta basata su IP, hanno affermato i ricercatori di Microsoft.

“Questa famiglia di malware dimostra come gli stealer leggeri e basati su script possano avere un impatto enorme se abbinati a comunicazioni anonime e all’esecuzione di attività in background.”

La rete Tor utilizzata per l'occultamento

Il malware distribuisce due payload JavaScript offuscati nella directory Documenti di Windows e crea attività pianificate sia per la componente worm sia per quella stealer.

Il malware installa inoltre segretamente una copia di Tor sul computer della vittima, ma la rinomina ugate.exe per mascherarla come qualcosa di innocuo. Utilizza poi la rete di anonimizzazione Tor per connettersi ai suoi operatori malevoli tramite indirizzi “onion” nascosti.

“La combinazione di C2 instradato tramite Tor, targeting degli appunti, cattura di screenshot ed esecuzione remota di codice offre agli attaccanti sia percorsi immediati di monetizzazione sia un controllo continuativo sui dispositivi compromessi”, ha dichiarato Microsoft.

Flusso di esecuzione di Crypto Clipper. Fonte Microsoft

Chiavi private e seed phrase prese di mira

Il crypto clipper prende di mira “artefatti finanziari di alto valore” presenti negli appunti, incluse le seed phrase mnemoniche BIP39 e le chiavi private di Bitcoin ed Ethereum.

Sostituisce inoltre gli indirizzi wallet copiati con indirizzi controllati dagli attaccanti su Bitcoin, Tron e Monero, e acquisisce screenshot ogni dieci secondi per ottenere ulteriore contesto.

Microsoft Defender Antivirus rileva il malware come Trojan:Win32/CryptoBandits.A.

Microsoft ha raccomandato di disabilitare l’autoplay sui supporti rimovibili, bloccare l’esecuzione di file .lnk dalle unità USB e monitorare attività proxy e script generati.

Il 2026 ha registrato una significativa escalation degli stealer crypto basati su Windows. Una nuova variante di malware Windows chiamata Lucid Stealer, che prende di mira le estensioni browser e i wallet crypto, è stata identificata all’inizio di questo mese dal Foresiet Threat Intel Team.