Malware CryptoBandits memungkinkan para penjahat menggunakan drive USB Anda untuk mengakses dompet kripto – Microsoft memperingatkan

Penelitian terbaru Microsoft tentang malware kripto menunjukkan bahwa dompet kripto, salah satu dari beberapa tempat di mana transaksi dapat gagal, merupakan kelemahan praktis utama dalam pengelolaan sendiri,

Sebuah mesin Windows yang telah diretas dapat mengubah alamat yang disalin oleh pengguna, memperlihatkan frasa seed sebelum transfer ditandatangani, atau mengirim tangkapan layar dan konteks dompet kembali kepada penyerang.

Dalam laporan Blog Keamanan 17 Juni, Microsoft mengatakan bahwa malware CryptoBandits, yang terdeteksi sebagai "CryptoBandits.A", telah aktif sejak Februari 2026 dan telah mencapai sistem melalui file pintasan Windows berbahaya pada perangkat penyimpanan USB.

Malware tersebut juga mencuri rahasia dompet, menukar alamat yang disalin, dan berkomunikasi dengan infrastruktur komando dan kontrol melalui Tor. Microsoft mengatakan bahwa mereka memantau clipboard setiap sekitar 500 milidetik dan mencari frasa seed, kunci pribadi, dan alamat dompet.

Dompet perangkat keras, pemeriksaan alamat, dan disiplin frasa seed tetap menjadi kendali yang diperlukan. Namun, jika titik akhir yang menangani alur kerja dompet diretas, penyerang mungkin dapat melihat rahasia tersebut, mengubah tujuan, atau mengamati layar sebelum pengguna menyadari ada yang salah.

CryptoSlate sebelumnya telah membahas pola pencurian dompet yang berdekatan, termasuk penggantian alamat gaya ClipBanker dan malware dompet yang terkait dengan Microsoft. Unsur baru dalam laporan Microsoft adalah kombinasi penyebaran melalui USB, pencurian clipboard, kontrol melalui Tor, dan panduan operasional untuk mendeteksi perilaku tersebut.

[

Bacaan Terkait

Pengguna kripto menjadi sasaran serangan malware SourceForge melalui perangkat lunak Microsoft Office palsu

Kaspersky melaporkan lebih dari 4.600 insiden yang terkait dengan malware yang dihosting di SourceForge, dengan pengguna kripto di Rusia paling parah terkena dampak.

9 Apr 2025 · Oluwapelumi Adejumo

](https://cryptoslate.com/crypto-users-targeted-in-sourceforge-malware-attack-via-fake-microsoft-office-softwares/)

Bagaimana malware CryptoBandits mengubah pintasan USB menjadi eksekusi

Microsoft mengatakan akses awal terjadi melalui file .lnk berbahaya, termasuk pintasan yang didistribusikan pada perangkat penyimpanan USB. Dalam kasus yang dianalisis Microsoft, pintasan tersebut memuat komponen worm.

Malware tersebut kemudian memindai drive USB untuk mencari file dokumen umum, seperti .doc, .xlsx, dan .pdf, menyembunyikan file aslinya, dan membuat file pintasan baru dengan nama file yang sama.

Hasilnya adalah jebakan yang sudah biasa: pengguna mengira sedang membuka dokumen dari media yang dapat dilepas, tetapi sebenarnya mereka sedang menjalankan muatan worm tersebut. Perilaku ini sesuai dengan pola keamanan yang lebih luas yang dijelaskan MITRE ATT&CK sebagai replikasi melalui media yang dapat dilepas, namun konsekuensi spesifik kripto lebih langsung.

Mesin yang digunakan untuk menandatangani, menyalin, atau memeriksa detail dompet menjadi bagian dari permukaan serangan.

Saat pintasan berbahaya dijalankan, Microsoft mengatakan malware tersebut meletakkan muatan JavaScript yang tersamar di C:\Users\Public\Documents, menggunakan tugas terjadwal untuk persistensi, dan menjaga satu tugas agar fokus pada penyebaran ke drive USB yang baru dimasukkan. Tugas lainnya menjalankan aktivitas pencuri.

Serangan ini sering dimulai dengan penanganan file biasa. Sebuah drive USB bersama, sebuah file yang disalin, atau kebiasaan menggunakan media yang dapat dilepas dapat menempatkan titik akhir yang menangani dompet dalam kondisi tidak aman sebelum perangkat lunak dompet dibuka.

Hal ini mengubah penggunaan media yang dapat dilepas secara rutin menjadi risiko malware USB bagi setiap perangkat yang nantinya berhubungan dengan alur kerja dompet.

Namun, metode pencegahan sangat praktis. Momen berisiko adalah eksekusi pintasan dan persistensi yang mengikutinya, sebelum tindakan dompet dimulai.

Bagi seseorang atau tim yang memindahkan kripto, perangkat yang membuka media yang dapat dilepas juga bisa menjadi perangkat yang nantinya menyalin alamat deposit, menampilkan alur kerja pemulihan, atau menyiapkan transfer treasury.

Untuk operasi dompet, kebijakan media yang dapat dilepas menjadi bagian dari operasi pengelolaan. Pengguna atau meja kerja yang memperlakukan workstation penandatanganan sebagai komputer serbaguna akan mewariskan risiko dari setiap alur kerja dokumen yang terkait dengan mesin tersebut.

Perangkat yang digunakan untuk aktivitas dompet membutuhkan lebih sedikit cara untuk menjalankan pintasan, skrip, dan muatan yang tidak dipercaya.

Serangan ini bermula sebagai masalah pintasan Windows dan kemudian menjadi masalah kontrol dompet. Setelah titik akhir diretas, urutan normal pengguna dalam menyalin alamat, memeriksa layar, dan menyiapkan transaksi memberikan malware bahan yang tepat untuk diamati.

Bagaimana malware CryptoBandits menjadikan clipboard sebagai jalur transaksi

Analisis Microsoft menunjukkan mengapa crypto clipper menjadi parah ketika dana dikelola sendiri. Setelah terdaftar di server komando dan kontrolnya, malware memasuki loop terus-menerus yang memeriksa clipboard setiap setengah detik.

Malware tersebut mencari frasa seed BIP39 12 atau 24 kata, kunci WIF Bitcoin, kunci Ethereum, dan alamat kripto.

Jika menemukan frasa seed atau kunci pribadi, Microsoft mengatakan malware dapat menyimpannya secara lokal dan mengeksploitasinya melalui Tor. Jika melihat alamat kripto yang disalin, malware dapat mengganti nilai tersebut dengan alamat yang dikendalikan penyerang.

Untuk beberapa format alamat, Microsoft mengatakan malware mencoba membuat penggantian yang cukup mirip untuk lolos dari pemeriksaan biasa, seperti mencocokkan karakter pertama beberapa alamat Bitcoin, Tron, atau Monero, atau hanya mengubah karakter terakhir dalam beberapa alamat Bitcoin gaya Bech32.

Microsoft telah memperlakukan penggantian alamat clipboard sebagai masalah pencurian dompet selama bertahun-tahun. Dalam laporan 2022 tentang cryware dan hot wallet, perusahaan tersebut menggambarkan clipping dan switching sebagai teknik yang menyadap data dompet sebelum transaksi selesai.

Laporan CryptoBandits.A menunjukkan pola tersebut terkait penyebaran media yang dapat dilepas dan lalu lintas komando berbasis Tor.

Panduan resmi dukungan dompet mempertajam sudut pengelolaan. Dokumentasi MetaMask memperlakukan frasa seed dan kunci pribadi sebagai rahasia kontrol dompet dan secara terpisah menginstruksikan pengguna untuk memverifikasi alamat penerima sebelum mengonfirmasi pengiriman.

CryptoBandits.A menargetkan kedua sisi alur kerja tersebut: rahasia yang mengontrol dompet dan alamat yang menerima dana.

[

Bacaan Terkait

Microsoft mengungkap trojan baru yang menargetkan ekstensi dompet kripto di Chrome

Malware baru menyerang 20 ekstensi dompet kripto populer di Google Chrome, menimbulkan risiko keamanan siber yang signifikan.

19 Mar 2025 · Assad Jafri

](https://cryptoslate.com/microsoft-uncovers-new-trojan-targeting-crypto-wallet-extensions/)

Dompet perangkat keras meninggalkan risiko titik akhir dalam alur kerja

Ini adalah peringatan titik akhir khusus tentang perangkat di sekitar dompet. Menjaga kunci pribadi terisolasi tetap menjadi salah satu pertahanan terkuat melawan banyak serangan dompet umum.

Asumsi yang lemah adalah perlindungan perangkat keras mencakup setiap langkah dalam transaksi. Dompet perangkat keras dapat melindungi kunci penandatanganan, tetapi tidak dapat membuat clipboard komputer yang diretas menjadi tepercaya. Jika pengguna menyalin alamat deposit pertukaran, alamat pembayaran, atau alamat transfer treasury pada mesin yang terinfeksi, malware dapat mengubah nilainya sebelum pengguna menempelkannya.

Jika pengguna hanya memeriksa beberapa karakter yang familier, alamat pengganti yang dirancang agar tampak mirip mungkin masih lolos dari pemeriksaan cepat.

Frasa seed menciptakan mode kegagalan yang lebih serius. Frasa pemulihan yang diketik atau disalin melalui mesin Windows yang diretas menjadi risiko kompromi jarak jauh.

Microsoft mengatakan malware dapat mengidentifikasi frasa gaya BIP39 dan mengeksploitasinya ke server komando dan kontrol. Begitu rahasia semacam itu terungkap, risikonya meluas ke luar satu kali cobaan transfer.

Bagi individu, kebersihan dompet sebagian adalah kebersihan perangkat. Untuk dana yang dikelola tim, prosedur pengelolaan harus memperlakukan perilaku titik akhir sebagai bagian dari proses persetujuan transaksi.

Sebuah mesin yang digunakan untuk memeriksa saldo, menyiapkan transfer, menjembatani aset, atau memindahkan dana dari pertukaran harus memiliki profil risiko yang berbeda dari workstation yang juga membuka media yang dapat dilepas yang tidak dikenal.

Standar yang berguna adalah pemisahan. Perangkat yang menangani aktivitas dompet seharusnya memiliki lebih sedikit alasan untuk menjalankan skrip, membuka pintasan dari drive USB, atau menyalin materi pemulihan melalui clipboard.

Saat alur kerja bergantung pada salin-tempel, tujuan yang ditampilkan pada perangkat penandatanganan atau layar tepercaya memiliki bobot lebih besar daripada alamat yang ditampilkan di browser atau jendela obrolan.

Jika sebuah workstation dicurigai terpapar, respons pun berubah. Paparan tersebut dapat mencakup lebih dari sekadar alamat buruk dalam satu transaksi tertunda.

Itu mungkin mencakup materi pemulihan, kunci pribadi, tangkapan layar, dan eksekusi perintah pada mesin yang sama. Hal ini mendorong perbaikan menuju isolasi titik akhir, rotasi materi dompet yang terpapar, dan peninjauan setiap transfer yang disiapkan pada perangkat tersebut.

[

Bacaan Terkait

Bagaimana ekstensi browser membuka kripto terhadap celah desain fatal yang diabaikan industri, merugikan $713 juta pada 2025

Serangan dompet pribadi mencapai $713 juta pada 2025, menunjukkan bahwa masalahnya bukan pengguna, melainkan praktik terbaik lapisan browser.

27 Des 2025 · Gino Matos

](https://cryptoslate.com/how-browser-extensions-expose-your-crypto-to-a-fatal-design-flaw-that-the-industry-ignored-bleeding-713m-in-2025/)

Pendeteksian bergantung pada sinyal perilaku

Panduan mitigasi Microsoft berfokus pada perilaku. Perusahaan merekomendasikan menonaktifkan AutoRun dan AutoPlay untuk media yang dapat dilepas, memblokir eksekusi .lnk dari drive yang dapat dilepas melalui Kebijakan Grup jika memungkinkan, membatasi penggunaan tak perlu host skrip seperti wscript.exe dan cscript.exe, dan meninjau aturan Pengurangan Permukaan Serangan untuk skrip yang tersamar dan rantai anak proses yang mencurigakan.

Bagi tim keamanan, sinyal terkuat adalah perilaku. Microsoft mengatakan para penyerang harus menyelidiki kasus-kasus di mana mesin skrip meluncurkan alat-alat seperti curl, cmd.exe, PowerShell, atau eksekutable tak terduga.

Perusahaan juga menyoroti aktivitas proxy SOCKS5 lokal pada localhost:9050, perilaku terkait clipboard, dan aktivitas tangkapan layar PowerShell pada perangkat yang menangani alur kerja keuangan sensitif.

Sinyal-sinyal tersebut sejalan dengan beberapa teknik standar ATT&CK, termasuk pengumpulan data clipboard, komando dan kontrol berbasis proxy, dan persistensi tugas terjadwal.

Microsoft Defender juga mencantumkan kemampuan pendeteksian untuk CryptoBandits, termasuk Trojan:Win32/CryptoBandits.A dan deteksi JavaScript terkait, serta cakupan EDR untuk proses JavaScript mencurigakan, eksploitasi berbasis curl, dan aktivitas Task Scheduler.

Laporan Microsoft tidak mengungkap jumlah korban, total pencurian yang terkonfirmasi, distribusi geografis, dan atribusi pelaku bernama. Hal ini membatasi klaim tentang skala kerugian finansial.

Pelajaran pengelolaan berdiri pada perilaku yang diamati: alur kerja dompet dapat diretas sebelum transaksi mencapai rantai.

Inti dari hal ini adalah pengguna dan operator kripto harus memperlakukan titik akhir sebagai bagian dari tumpukan dompet. Kendali USB, pembatasan skrip, verifikasi alamat, dan disiplin clipboard adalah bagian dari keamanan pengelolaan sendiri.

Itulah jalur yang dilalui transaksi sebelum mencapai rantai.

Postingan Malware CryptoBandits memungkinkan penjahat menggunakan drive USB Anda untuk mengakses dompet kripto – Microsoft memperingatkan muncul pertama kali di CryptoSlate.