A mais recente pesquisa da Microsoft sobre malware cripto aponta para as carteiras cripto, um dos vários locais onde uma transação pode falhar, como uma fraqueza prática fundamental na autogestão,
Uma máquina Windows comprometida pode alterar o endereço que um usuário copia, expor uma frase-semente antes de uma transferência ser assinada ou enviar capturas de tela e contexto da carteira de volta para um atacante.
Em um relatório do Blog de Segurança de 17 de junho, a Microsoft afirmou que o malware CryptoBandits, detectado como "CryptoBandits.A", estava ativo desde fevereiro de 2026 e havia alcançado sistemas por meio de arquivos de atalho maliciosos do Windows em dispositivos de armazenamento USB.
O malware também rouba segredos de carteira, troca endereços copiados e se comunica com infraestrutura de comando e controle através do Tor. A Microsoft disse que monitora a área de transferência aproximadamente a cada 500 milissegundos e busca frases-semente, chaves privadas e endereços de carteira.
Carteiras de hardware, verificações de endereço e disciplina com frases-semente continuam sendo controles necessários. Mas se o ponto final que lida com o fluxo de trabalho da carteira for comprometido, o atacante poderá ver o segredo, alterar o destino ou observar a tela antes que o usuário perceba algo errado.
CryptoSlate já cobriu padrões adjacentes de roubo de carteira antes, incluindo substituição de endereços no estilo ClipBanker e malware para carteira ligado à Microsoft. O novo elemento no relatório da Microsoft é a combinação de propagação por USB, roubo da área de transferência, controle roteado pelo Tor e orientações operacionais para detectar esse comportamento.
[
Leitura Relacionada
Usuários de criptomoedas alvo de ataque de malware no SourceForge via softwares falsos do Microsoft Office
A Kaspersky relata mais de 4.600 incidentes ligados a malware hospedado no SourceForge, com usuários de criptomoedas na Rússia sendo os mais afetados.
9 de abr de 2025 · Oluwapelumi Adejumo
Como o malware CryptoBandits transforma atalhos USB em execução
A Microsoft disse que o acesso inicial ocorre por meio de arquivos .lnk maliciosos, incluindo atalhos distribuídos em dispositivos de armazenamento USB. Nos casos analisados pela Microsoft, o atalho prepara um componente de worm.
O malware então escaneia a unidade USB em busca de arquivos de documentos comuns, como .doc, .xlsx e .pdf, oculta os originais e cria novos arquivos de atalho com os mesmos nomes de arquivo.
O resultado é uma armadilha familiar: um usuário pensa estar abrindo um documento de mídia removível, mas está executando a carga útil do worm. Esse comportamento se encaixa no padrão de segurança mais amplo descrito pela MITRE ATT&CK como replicação por mídia removível, mas a consequência específica para criptomoedas é mais direta.
Uma máquina usada para assinar, copiar ou verificar detalhes da carteira torna-se parte da superfície de ataque.
Uma vez que o atalho malicioso é executado, a Microsoft disse que o malware coloca cargas JavaScript ofuscadas em C:\Users\Public\Documents, usa tarefas agendadas para persistência e mantém uma tarefa focada em se espalhar para unidades USB recém-inseridas. Outra tarefa executa a atividade de roubo.
O ataque geralmente começa com o manuseio normal de arquivos. Uma unidade USB compartilhada, um arquivo copiado ou um hábito antigo com mídias removíveis podem colocar um ponto final que lida com carteiras em um estado inseguro antes mesmo de qualquer software de carteira ser aberto.
Contudo, métodos de prevenção são práticos. O momento de risco é a execução do atalho e a persistência que segue, antes que uma ação com carteira comece.
Para uma pessoa ou equipe que movimenta criptomoedas, o dispositivo que abre mídias removíveis também pode ser o mesmo que posteriormente copia um endereço de depósito, exibe um fluxo de recuperação ou prepara uma transferência de tesouro.
Para operações com carteiras, a política de mídias removíveis passa a fazer parte das operações de custódia. Um usuário ou mesa que trata uma estação de assinatura como um computador de uso geral herda os riscos de cada fluxo de trabalho de documentos associado a essa máquina.
Dispositivos usados para atividades com carteiras precisam de menos maneiras de executar atalhos, scripts e cargas não confiáveis.
O ataque começa como um problema de atalhos do Windows e depois se torna um problema de controle de carteira. Uma vez que o ponto final é comprometido, a sequência normal do usuário de copiar endereços, verificar telas e preparar transações dá ao malware exatamente o material que ele foi projetado para vigiar.
Como o malware CryptoBandits faz da área de transferência o caminho da transação
A análise da Microsoft mostra por que um clipper cripto se torna grave quando os fundos estão sob autogestão. Após se registrar no seu servidor de comando e controle, o malware entra num loop contínuo que verifica a área de transferência aproximadamente a cada meio segundo.
Ele procura frases-semente BIP39 de 12 ou 24 palavras, chaves WIF de Bitcoin, chaves de Ethereum e endereços de criptomoedas.
Se encontrar uma frase-semente ou chave privada, a Microsoft disse que o malware pode salvá-la localmente e exfiltrá-la através do Tor. Se vir um endereço de criptomoeda copiado, pode substituir esse valor por um endereço controlado pelo atacante.
Para vários formatos de endereço, a Microsoft disse que o malware tenta fazer a substituição parecer suficientemente similar para escapar de verificações casuais, como comparar os primeiros caracteres de alguns endereços de Bitcoin, Tron ou Monero, ou alterar apenas o último caractere em alguns endereços de Bitcoin no estilo Bech32.
A Microsoft tem tratado a substituição de endereços na área de transferência como um problema de roubo de carteira há anos. Em um relatório de 2022 sobre cryware e carteiras quentes, a empresa descreveu o clipping e a troca como técnicas que interceptam dados da carteira antes que uma transação seja concluída.
O relatório CryptoBandits.A mostra esse padrão ligado à propagação por mídias removíveis e ao tráfego de comando baseado no Tor.
A orientação oficial de suporte a carteiras acentua o ângulo da custódia. A documentação da MetaMask trata frases-semente e chaves privadas como segredos de controle de carteira e instrui separadamente os usuários a verificar os endereços dos destinatários antes de confirmar um envio.
CryptoBandits.A atinge ambos os lados desse fluxo de trabalho: o segredo que controla a carteira e o endereço que recebe os fundos.
[
Leitura Relacionada
Microsoft descobre novo trojan visando extensões de carteira cripto no Chrome
Novo malware ataca 20 extensões populares de carteira cripto no Google Chrome, representando riscos significativos à cibersegurança.
19 de mar de 2025 · Assad Jafri
](https://cryptoslate.com/microsoft-uncovers-new-trojan-targeting-crypto-wallet-extensions/)
| Comportamento observado | Risco de custódia | Resposta prática |
|---|---|---|
| Arquivos de atalho USB maliciosos | Uma ação normal de abertura de arquivo pode lançar a carga útil do worm. | Desative AutoRun ou AutoPlay onde possível e bloqueie a execução de .lnk de unidades removíveis. |
| Polling da área de transferência e substituição de endereços | Um endereço de destinatário copiado pode ser trocado antes de uma transação ser enviada. | Verifique o destino completo em uma tela confiável e evite depender apenas da memória da área de transferência. |
| Extração de frase-semente e chave privada | Segredos de controle de carteira podem sair do ponto final antes que qualquer movimento em cadeia ocorra. | Mantenha o material de recuperação fora de máquinas conectadas à rede e trate a exposição como um evento de rotação de carteira. |
| Uploads de capturas de tela | Atacantes podem ver o contexto da carteira, saldos ou fluxos de recuperação. | Evite exibir material sensível de carteira em máquinas de uso geral. |
| Trafego de comando roteado pelo Tor através de localhost:9050 | O bloqueio baseado no destino fica mais difícil porque o tráfego é roteado por um proxy local. | Procure por cadeias script-redes, atividade curl e comportamento local de proxy SOCKS5. |
Carteiras de hardware deixam risco de ponto final no fluxo de trabalho
Esta é uma advertência específica sobre o ponto final relacionado ao dispositivo ao redor da carteira. Manter as chaves privadas isoladas continua sendo uma das defesas mais fortes contra muitos ataques comuns a carteiras.
Uma suposição frágil é que a proteção de hardware cobre cada etapa numa transação. Carteiras de hardware podem proteger chaves de assinatura, mas não conseguem tornar a área de transferência de um computador comprometido confiável. Se um usuário copiar um endereço de depósito de exchange, um endereço de pagamento ou um endereço de transferência de tesouro numa máquina infectada, o malware pode alterar o valor antes que o usuário cole.
Se o usuário verificar apenas alguns caracteres familiares, um endereço substituto projetado para parecer semelhante ainda pode passar por uma revisão apressada.
Frases-semente criam um modo de falha mais sério. Uma frase de recuperação digitada ou copiada numa máquina Windows comprometida torna-se um risco de comprometimento remoto.
A Microsoft disse que o malware pode identificar frases no estilo BIP39 e exfiltrá-las para o servidor de comando e controle. Uma vez exposto esse tipo de segredo, o risco vai além de uma única tentativa de transferência.
Para indivíduos, a higiene da carteira é em parte higiene do dispositivo. Para fundos geridos por equipes, os procedimentos de custódia precisam tratar o comportamento do ponto final como parte do processo de aprovação da transação.
Uma máquina usada para inspecionar saldos, preparar transferências, conectar ativos ou mover fundos de uma exchange deve ter um perfil de risco diferente de uma estação de trabalho que também abre mídias removíveis desconhecidas.
O padrão útil é a separação. Um dispositivo que lida com atividades de carteira deveria ter menos razões para executar scripts, abrir atalhos de unidades USB ou copiar material de recuperação pela área de transferência.
Quando um fluxo de trabalho depende de copiar e colar, o destino mostrado no dispositivo de assinatura ou na tela confiável tem mais peso do que o endereço mostrado num navegador ou janela de chat.
Se uma estação de trabalho for suspeita de exposição, a resposta também muda. A exposição pode incluir mais do que apenas um mau endereço numa única transação pendente.
Pode incluir material de recuperação, chaves privadas, capturas de tela e execução de comandos na mesma máquina. Isso empurra a remediação para isolar o ponto final, rodar o material exposto da carteira e revisar qualquer transferência preparada nesse dispositivo.
[
Leitura Relacionada
Como extensões de navegador expõem criptomoedas a uma falha fatal de design ignorada pela indústria, sangrando US$713 milhões em 2025
Hackers de carteiras pessoais atingiram US$713 milhões em 2025, destacando que o problema não são os usuários, mas as boas práticas da camada de navegador.
27 de dez de 2025 · Gino Matos
A detecção depende de sinais comportamentais
A orientação de mitigação da Microsoft se concentra no comportamento. A empresa recomenda desativar AutoRun e AutoPlay para mídias removíveis, bloquear a execução de .lnk de unidades removíveis através de Políticas de Grupo onde possível, restringir o uso desnecessário de hosts de script como wscript.exe e cscript.exe, e revisar as regras de Redução da Superfície de Ataque para scripts ofuscados e cadeias de processos filhos suspeitos.
Para equipes de segurança, os sinais mais fortes são comportamentais. A Microsoft disse que os defensores devem investigar casos em que motores de script iniciam ferramentas como curl, cmd.exe, PowerShell ou executáveis inesperados.
Elas também chamaram atenção para atividade local de proxy SOCKS5 em localhost:9050, comportamento relacionado à área de transferência e atividade de captura de tela do PowerShell em dispositivos que lidam com fluxos financeiros sensíveis.
Esses sinais se alinham com várias técnicas padrão da ATT&CK, incluindo coleta de dados da área de transferência, comando e controle baseado em proxy e persistência de tarefas agendadas.
O Microsoft Defender também lista capacidade de detecção para CryptoBandits, incluindo Trojan:Win32/CryptoBandits.A e detecções relacionadas de JavaScript, além de cobertura EDR para processos suspeitos de JavaScript, exfiltração baseada em curl e atividade do Agendador de Tarefas.
O relatório da Microsoft deixa os números de vítimas, totais confirmados de roubo, distribuição geográfica e atribuição de atores nomeados não divulgados. Isso limita qualquer afirmação sobre a escala do dano financeiro.
A lição de custódia está no comportamento observado: um fluxo de trabalho de carteira pode ser comprometido antes que uma transação chegue à cadeia.
A conclusão imediata é que usuários e operadores de criptomoedas devem tratar os pontos finais como parte da pilha da carteira. Controles de USB, restrições de script, verificação de endereços e disciplina da área de transferência são parte da segurança da autogestão.
São eles o caminho que uma transação toma antes de chegar à cadeia.
A publicação Malware CryptoBandits permite que criminosos usem sua unidade USB para acessar carteiras cripto – Microsoft alerta apareceu primeiro em CryptoSlate.