微軟公佈新型加密木馬軟件威脅可通過Tor隱匿傳播並劫持錢包地址

微軟公司威脅情報團隊官方公佈一款自2026年2月起活躍的Windows加密木馬威脅，該惡意軟件結合「蠕蟲式傳播+剪貼板劫持+Tor匿名通信」，針對數字資產用戶實施攻擊。微軟分析指出，該惡意程序通過偽裝的快捷方式（.lnk）文件在可移動存儲設備間傳播，並利用WScript與ActiveX執行腳本邏輯，自動部署本地Tor客戶端，通過127.0.1:9050代理連接。onion隱藏服務C2服務器，實現匿名控制與數據回傳。攻擊鏈包括多重惡意能力：持續監控剪貼板內容、竊取助記詞與私鑰、截屏上傳，並在用戶複製加密貨幣地址時進行「地址替換」，將目標地址替換為攻擊者控制的錢包地址，從而實現資金劫持。此外，該木馬還具備蠕蟲傳播能力，可自動在U盤等設備中複製自身，並創建計劃任務實現持久化運行，同時具備基礎反分析能力（檢測任務管理器以規避調試）。在檢測層面，微軟已將其識別為Trojan:Win32/CryptoBandits系列，並通過行為特徵（如WScript異常調用、localhost:9050代理流量及PowerShell截圖行為）進行攔截。安全研究人員建議重點防護腳本執行路徑及本地代理異常流量監測。