มัลแวร์ CryptoBandits อนุญาตให้อาชญากรใช้ไดรฟ์ USB ของคุณเพื่อเข้าถึงกระเป๋าเงินคริปโต – Microsoft เตือน

งานวิจัยล่าสุดของไมโครซอฟต์เกี่ยวกับมัลแวร์คริปโตชี้ไปที่กระเป๋าเงินคริปโต ซึ่งเป็นหนึ่งในหลายจุดที่การทำธุรกรรมอาจล้มเหลว และถือเป็นจุดอ่อนสำคัญในด้านการควบคุมตนเอง

เครื่อง Windows ที่ถูกโจมตีสามารถเปลี่ยนแปลงที่อยู่ที่ผู้ใช้คัดลอกได้ หรือเผยวลีกุญแจก่อนที่จะมีการลงนามโอนเงิน หรือส่งภาพหน้าจอและบริบทของกระเป๋าเงินกลับไปยังผู้โจมตี

ในรายงาน บล็อกความปลอดภัยเมื่อวันที่ 17 มิถุนายน ไมโครซอฟต์ระบุว่ามัลแวร์ CryptoBandits ซึ่งตรวจพบในชื่อ "CryptoBandits.A" ได้เริ่มทำงานตั้งแต่เดือนกุมภาพันธ์ 2026 และเข้าสู่ระบบผ่านไฟล์ทางลัด Windows ที่เป็นอันตรายบนอุปกรณ์เก็บข้อมูล USB

มัลแวร์ยังขโมยความลับของกระเป๋าเงิน แลกเปลี่ยนที่อยู่ที่คัดลอกมา และสื่อสารกับโครงสร้างพื้นฐานควบคุมและสั่งการผ่าน Tor ไมโครซอฟต์กล่าวว่ามันตรวจสอบคลิปบอร์ดประมาณทุกๆ 500 มิลลิวินาที และคอยหาวลีกุญแจ คีย์ส่วนตัว และที่อยู่กระเป๋าเงิน

กระเป๋าเงินฮาร์ดแวร์ การตรวจสอบที่อยู่ และการปฏิบัติตามกฎเกณฑ์ของวลีกุญแจยังคงเป็นมาตรการควบคุมที่จำเป็น แต่หากจุดปลายที่จัดการกระบวนการทำงานของกระเป๋าเงินถูกเจาะ ผู้โจมตีอาจเห็นความลับ เปลี่ยนปลายทาง หรือสังเกตหน้าจอได้ก่อนที่ผู้ใช้จะสังเกตเห็นว่ามีอะไรผิดปกติ

CryptoSlate เคยนำเสนอรูปแบบการขโมยกระเป๋าเงินที่เกี่ยวข้องมาก่อน รวมถึง การแทนที่ที่อยู่แบบ ClipBanker และ มัลแวร์กระเป๋าเงินที่เชื่อมโยงกับไมโครซอฟต์ สิ่งใหม่ในรายงานของไมโครซอฟต์คือการผสมผสานระหว่างการแพร่กระจายผ่าน USB การขโมยข้อมูลจากคลิปบอร์ด การควบคุมผ่าน Tor และคำแนะนำในการดำเนินงานเพื่อตรวจจับพฤติกรรมดังกล่าว

[

บทความที่เกี่ยวข้อง

ผู้ใช้คริปโตตกเป็นเป้าหมายในการโจมตีมัลแวร์ SourceForge ผ่านซอฟต์แวร์ Microsoft Office ปลอม

Kaspersky รายงานว่ามีเหตุการณ์กว่า 4,600 ครั้งที่เชื่อมโยงกับมัลแวร์ที่โฮสต์บน SourceForge โดยผู้ใช้คริปโตในรัสเซียได้รับผลกระทบหนักที่สุด

9 เม.ย. 2025 · Oluwapelumi Adejumo

](https://cryptoslate.com/crypto-users-targeted-in-sourceforge-malware-attack-via-fake-microsoft-office-softwares/)

วิธีที่มัลแวร์ CryptoBandits เปลี่ยนทางลัด USB ให้กลายเป็นการเรียกใช้งาน

ไมโครซอฟต์กล่าวว่าการเข้าถึงเบื้องต้นเกิดขึ้นผ่านไฟล์ .lnk ที่เป็นอันตราย รวมถึงทางลัดที่แจกจ่ายบนอุปกรณ์เก็บข้อมูล USB ในกรณีที่ไมโครซอฟต์วิเคราะห์ ทางลัดนั้นมีส่วนประกอบของเวิร์ม

จากนั้นมัลแวร์จะสแกนไดรฟ์ USB เพื่อหาไฟล์เอกสารทั่วไป เช่น .doc, .xlsx และ .pdf ซ่อนไฟล์ต้นฉบับไว้ และสร้างไฟล์ทางลัดใหม่ที่มีชื่อไฟล์เดียวกัน

ผลลัพธ์คือกับดักที่คุ้นเคย: ผู้ใช้คิดว่ากำลังเปิดเอกสารจากสื่อที่ถอดออกได้ แต่กลับเปิดโหลดเวิร์มแทน พฤติกรรมนี้สอดคล้องกับรูปแบบความปลอดภัยที่ MITRE ATT&CK อธิบายไว้ว่าเป็น การจำลองแบบผ่านสื่อที่ถอดออกได้ แต่ผลกระทบที่เฉพาะเจาะจงกับคริปโตนั้นตรงไปตรงมากกว่า

เครื่องที่ใช้สำหรับลงนาม คัดลอก หรือตรวจสอบรายละเอียดกระเป๋าเงินจะกลายเป็นส่วนหนึ่งของพื้นที่โจมตี

เมื่อทางลัดที่เป็นอันตรายเริ่มทำงาน ไมโครซอฟต์กล่าวว่ามัลแวร์จะวางโหลด JavaScript ที่ถูกบดบังไว้ใต้ C:\Users\Public\Documents ใช้งานงานที่กำหนดเวลาเพื่อความคงอยู่ และเก็บงานหนึ่งไว้เพื่อแพร่กระจายไปยังไดรฟ์ USB ที่เพิ่งเสียบเข้ามา อีกงานหนึ่งจะทำกิจกรรมขโมยข้อมูล

การโจมตีมักเริ่มจากการจัดการไฟล์ธรรมดา ไดรฟ์ USB ที่ใช้ร่วมกัน ไฟล์ที่คัดลอก หรือพฤติกรรมการใช้สื่อที่ถอดออกได้เก่าๆ อาจทำให้จุดปลายที่จัดการกระเป๋าเงินอยู่ในสถานะไม่ปลอดภัยก่อนที่จะเปิดโปรแกรมกระเป๋าเงินใดๆ

นั่นทำให้การใช้สื่อที่ถอดออกได้ตามปกติกลายเป็นความเสี่ยงจากมัลแวร์ USB สำหรับอุปกรณ์ใดๆ ก็ตามที่ต่อเนื่องกับกระบวนการทำงานของกระเป๋าเงิน

อย่างไรก็ตาม วิธีการป้องกันนั้นใช้ได้จริง ช่วงเวลาที่เสี่ยงคือการเรียกใช้งานทางลัดและความคงอยู่ที่ตามมา ก่อนที่จะเริ่มดำเนินการกระเป๋าเงิน

สำหรับบุคคลหรือทีมที่เคลื่อนย้ายคริปโต อุปกรณ์ที่เปิดสื่อที่ถอดออกได้อาจเป็นอุปกรณ์เดียวกับที่คัดลอกที่อยู่การฝากเงิน แสดงขั้นตอนการกู้คืน หรือเตรียมการโอนทรัพย์สิน

สำหรับการดำเนินงานกระเป๋าเงิน นโยบายการใช้สื่อที่ถอดออกได้กลายเป็นส่วนหนึ่งของการควบคุมทรัพย์สิน ผู้ใช้หรือโต๊ะทำงานที่ปฏิบัติต่อเครื่องลงนามเสมือนคอมพิวเตอร์ทั่วไป จะได้รับความเสี่ยงจากทุกกระบวนการทำงานเอกสารที่เกี่ยวข้องกับเครื่องนั้น

อุปกรณ์ที่ใช้สำหรับกิจกรรมกระเป๋าเงินจำเป็นต้องมีวิธีการน้อยลงในการเรียกใช้งานทางลัด สคริปต์ และโหลดที่ไม่น่าเชื่อถือ

การโจมตีเริ่มต้นจากปัญหาทางลัด Windows และกลายเป็นปัญหาการควบคุมกระเป๋าเงิน เมื่อจุดปลายถูกเจาะ ลำดับปกติของผู้ใช้ในการคัดลอกที่อยู่ ตรวจสอบหน้าจอ และเตรียมธุรกรรมจะมอบวัสดุที่มัลแวร์ถูกสร้างมาเพื่อเฝ้าดูให้กับมัน

วิธีที่มัลแวร์ CryptoBandits ใช้คลิปบอร์ดเป็นเส้นทางการทำธุรกรรม

การวิเคราะห์ของไมโครซอฟต์แสดงให้เห็นว่าทำไมคริปโตคลิปเปอร์ถึงรุนแรงเมื่อเงินถูกควบคุมด้วยตนเอง หลังจากลงทะเบียนกับเซิร์ฟเวอร์ควบคุมและสั่งการ มัลแวร์จะเข้าสู่ลูปต่อเนื่องที่ตรวจสอบคลิปบอร์ดทุกๆ ครึ่งวินาที

มันค้นหาวลีกุญแจ BIP39 ที่มี 12 หรือ 24 คำ คีย์ WIF ของ Bitcoin คีย์ Ethereum และที่อยู่คริปโตเคอร์เรนซี

หากพบวลีกุญแจหรือคีย์ส่วนตัว ไมโครซอฟต์กล่าวว่ามัลแวร์สามารถบันทึกไว้ในท้องถิ่นและส่งออกไปผ่าน Tor หากพบที่อยู่คริปโตที่คัดลอกมา มันสามารถแทนที่ค่านั้นด้วยที่อยู่ที่ผู้โจมตีควบคุมได้

สำหรับรูปแบบที่อยู่หลายประเภท ไมโครซอฟต์กล่าวว่ามัลแวร์พยายามทำให้การแทนที่ดูเหมือนกันพอที่จะหลบเลี่ยงการตรวจสอบแบบง่ายๆ เช่น การจับคู่ตัวอักษรแรกของบางที่อยู่ Bitcoin, Tron หรือ Monero หรือเปลี่ยนเฉพาะตัวอักษรสุดท้ายในบางที่อยู่ Bitcoin แบบ Bech32

ไมโครซอฟต์ได้จัดการกับการแทนที่ที่อยู่ในคลิปบอร์ดในฐานะปัญหาการขโมยกระเป๋าเงินมาหลายปี ในรายงานปี 2022 เกี่ยวกับ cryware และ hot wallets บริษัทได้อธิบายการตัดและสลับว่าเป็นเทคนิคที่ดักข้อมูลกระเป๋าเงินก่อนที่ธุรกรรมจะเสร็จสมบูรณ์

รายงาน CryptoBandits.A แสดงให้เห็นรูปแบบที่เชื่อมโยงกับการแพร่กระจายผ่านสื่อที่ถอดออกได้และทราฟฟิกคำสั่งผ่าน Tor

คำแนะนำอย่างเป็นทางการเกี่ยวกับการสนับสนุนกระเป๋าเงินช่วยเพิ่มมุมมองด้านการควบคุมทรัพย์สิน เอกสารของ MetaMask จัดการ วลีกุญแจและคีย์ส่วนตัว เป็นความลับในการควบคุมกระเป๋าเงิน และบอกผู้ใช้แยกต่างหากให้ ตรวจสอบที่อยู่ผู้รับ ก่อนยืนยันการส่ง

CryptoBandits.A มุ่งเป้าไปที่ทั้งสองด้านของกระบวนการทำงานนั้น: ความลับที่ควบคุมกระเป๋าเงินและที่อยู่ที่รับเงิน

[

บทความที่เกี่ยวข้อง

Microsoft พบโทรจันตัวใหม่ที่มุ่งเป้าไปที่ส่วนขยายกระเป๋าเงินคริปโตบน Chrome

มัลแวร์ตัวใหม่โจมตีส่วนขยายกระเป๋าเงินคริปโตยอดนิยม 20 ตัวใน Google Chrome ซึ่งก่อให้เกิดความเสี่ยงด้านความปลอดภัยไซเบอร์อย่างมาก

19 มี.ค. 2025 · Assad Jafri

](https://cryptoslate.com/microsoft-uncovers-new-trojan-targeting-crypto-wallet-extensions/)

กระเป๋าเงินฮาร์ดแวร์ทิ้งความเสี่ยงของจุดปลายไว้ในกระบวนการทำงาน

นี่คือคำเตือนเฉพาะจุดปลายเกี่ยวกับอุปกรณ์รอบๆ กระเป๋าเงิน การเก็บคีย์ส่วนตัวให้แยกจากกันยังคงเป็นหนึ่งในแนวทางป้องกันที่แข็งแกร่งที่สุดต่อการโจมตีกระเป๋าเงินทั่วไปหลายชนิด

สมมติฐานที่อ่อนแอคือการป้องกันด้วยฮาร์ดแวร์ครอบคลุมทุกขั้นตอนในการทำธุรกรรม กระเป๋าเงินฮาร์ดแวร์สามารถปกป้องคีย์การลงนามได้ แต่ไม่สามารถทำให้คลิปบอร์ดของคอมพิวเตอร์ที่ถูกเจาะมีความน่าเชื่อถือได้ หากผู้ใช้คัดลอกที่อยู่การฝากเงิน ที่อยู่การชำระเงิน หรือที่อยู่การโอนทรัพย์สินจากเครื่องที่ติดเชื้อ มัลแวร์อาจเปลี่ยนแปลงค่านั้นก่อนที่ผู้ใช้จะวางลงไป

หากผู้ใช้ตรวจสอบเฉพาะตัวอักษรที่คุ้นเคยไม่กี่ตัว ที่อยู่ที่ถูกแทนที่ซึ่งออกแบบให้ดูคล้ายกันอาจผ่านการตรวจสอบแบบเร่งรีบได้

วลีกุญแจสร้างโหมดความล้มเหลวที่ร้ายแรงกว่า วลีกู้คืนที่พิมพ์หรือคัดลอกผ่านเครื่อง Windows ที่ถูกเจาะจะกลายเป็นความเสี่ยงจากการถูกเจาะจากระยะไกล

ไมโครซอฟต์กล่าวว่ามัลแวร์สามารถระบุวลีสไตล์ BIP39 และส่งออกไปยังเซิร์ฟเวอร์ควบคุมและสั่งการ เมื่อความลับแบบนั้นถูกเปิดเผย ความเสี่ยงจะขยายไปไกลกว่าการโอนเงินเพียงครั้งเดียว

สำหรับบุคคล การรักษาความสะอาดของกระเป๋าเงินส่วนหนึ่งคือการรักษาความสะอาดของอุปกรณ์ สำหรับกองทุนที่บริหารโดยทีม ขั้นตอนการควบคุมทรัพย์สินจำเป็นต้องถือพฤติกรรมจุดปลายเป็นส่วนหนึ่งของกระบวนการอนุมัติธุรกรรม

เครื่องที่ใช้ตรวจสอบยอดเงิน เตรียมการโอนเงิน สะพานเชื่อมทรัพย์สิน หรือเคลื่อนย้ายเงินจากตลาดแลกเปลี่ยนควรมีความเสี่ยงที่แตกต่างจากเครื่องทำงานที่เปิดสื่อที่ถอดออกได้ที่ไม่รู้จักด้วย

มาตรฐานที่เป็นประโยชน์คือการแยกส่วน อุปกรณ์ที่จัดการกิจกรรมกระเป๋าเงินควรจะมีเหตุผลน้อยลงในการเรียกใช้สคริปต์ เปิดทางลัดจากไดรฟ์ USB หรือคัดลอกวัสดุกู้คืนผ่านคลิปบอร์ด

เมื่อกระบวนการทำงานขึ้นอยู่กับการคัดลอกและวาง ปลายทางที่แสดงบนอุปกรณ์ลงนามหรือหน้าจอที่เชื่อถือได้จะมีน้ำหนักมากกว่าที่อยู่ที่แสดงในเบราว์เซอร์หรือหน้าแชท

หากเครื่องทำงานสงสัยว่าถูกเปิดเผย วิธีการตอบสนองก็เปลี่ยนไปเช่นกัน การเปิดเผยอาจรวมถึงมากกว่าแค่ที่อยู่ที่ไม่ดีในธุรกรรมที่รอการยืนยันเพียงครั้งเดียว

อาจรวมถึงวัสดุกู้คืน คีย์ส่วนตัว ภาพหน้าจอ และการเรียกใช้คำสั่งบนเครื่องเดียวกัน นั่นทำให้การแก้ไขต้องมุ่งไปที่การแยกจุดปลาย การหมุนเวียนวัสดุกระเป๋าเงินที่ถูกเปิดเผย และการตรวจสอบการโอนเงินที่เตรียมไว้บนอุปกรณ์นั้น

[

บทความที่เกี่ยวข้อง

วิธีที่ส่วนขยายเบราว์เซอร์เปิดเผยคริปโตต่อข้อบกพร่องการออกแบบร้ายแรงที่อุตสาหกรรมละเลย ทำให้เสียหาย 713 ล้านดอลลาร์ในปี 2025

การแฮ็กกระเป๋าเงินส่วนตัวทำให้เสียหายถึง 713 ล้านดอลลาร์ในปี 2025 โดยระบุว่าปัญหาไม่ใช่ผู้ใช้ แต่เป็นแนวทางปฏิบัติระดับเบราว์เซอร์

27 ธ.ค. 2025 · Gino Matos

](https://cryptoslate.com/how-browser-extensions-expose-your-crypto-to-a-fatal-design-flaw-that-the-industry-ignored-bleeding-713m-in-2025/)

การตรวจจับขึ้นอยู่กับสัญญาณพฤติกรรม

คำแนะนำการบรรเทาของไมโครซอฟต์มุ่งเน้นที่พฤติกรรม บริษัทแนะนำให้ปิดการใช้งาน AutoRun และ AutoPlay สำหรับสื่อที่ถอดออกได้ บล็อกการเรียกใช้งาน .lnk จากไดรฟ์ที่ถอดออกได้ผ่าน Group Policy ถ้าเป็นไปได้ จำกัดการใช้งานที่ไม่จำเป็นของตัวโฮสต์สคริปต์ เช่น wscript.exe และ cscript.exe และตรวจสอบกฎลดพื้นที่โจมตีสำหรับสคริปต์ที่ถูกบดบังและสายกระบวนการย่อยที่น่าสงสัย

สำหรับทีมความปลอดภัย สัญญาณที่แข็งแกร่งที่สุดคือพฤติกรรม ไมโครซอฟต์กล่าวว่าผู้ป้องกันควรตรวจสอบกรณีที่ตัวประมวลผลสคริปต์เรียกใช้เครื่องมือเช่น curl, cmd.exe, PowerShell หรือไฟล์ที่ไม่คาดคิด

นอกจากนี้ยังระบุถึงกิจกรรมพร็อกซี SOCKS5 ในเครื่อง localhost:9050 พฤติกรรมที่เกี่ยวข้องกับคลิปบอร์ด และกิจกรรมการจับภาพหน้าจอของ PowerShell บนอุปกรณ์ที่จัดการกระบวนการทำงานทางการเงินที่ละเอียดอ่อน

สัญญาณเหล่านั้นสอดคล้องกับเทคนิค ATT&CK มาตรฐานหลายอย่าง รวมถึง การรวบรวมข้อมูลคลิปบอร์ด, การควบคุมและสั่งการผ่านพร็อกซี และ ความคงอยู่ของงานที่กำหนดเวลา

Microsoft Defender ยังระบุความสามารถในการตรวจจับ CryptoBandits รวมถึง Trojan:Win32/CryptoBandits.A และการตรวจจับ JavaScript ที่เกี่ยวข้อง พร้อมทั้งความครอบคลุม EDR สำหรับกระบวนการ JavaScript ที่น่าสงสัย การส่งออกผ่าน curl และกิจกรรม Task Scheduler

รายงานของไมโครซอฟต์ไม่เปิดเผยจำนวนเหยื่อ ยอดการขโมยที่ยืนยันแล้ว การกระจายตามภูมิศาสตร์ และการระบุตัวผู้กระทำ นั่นทำให้ข้ออ้างเกี่ยวกับขนาดความเสียหายทางการเงินถูกจำกัด

บทเรียนด้านการควบคุมทรัพย์สินอยู่บนพฤติกรรมที่สังเกตได้: กระบวนการทำงานของกระเป๋าเงินอาจถูกเจาะก่อนที่ธุรกรรมจะถึงบล็อกเชน

ข้อสรุปทันทีคือผู้ใช้และผู้ดำเนินการคริปโตควรปฏิบัติต่อจุดปลายในฐานะส่วนหนึ่งของชุดกระเป๋าเงิน การควบคุม USB การจำกัดสคริปต์ การตรวจสอบที่อยู่ และการปฏิบัติตามกฎเกณฑ์ของคลิปบอร์ดเป็นส่วนหนึ่งของความปลอดภัยในการควบคุมตนเอง

พวกมันคือเส้นทางที่ธุรกรรมจะผ่านก่อนที่จะถึงบล็อกเชน

โพสต์ มัลแวร์ CryptoBandits ให้อาชญากรใช้ไดรฟ์ USB ของคุณเข้าถึงกระเป๋าเงินคริปโต – ไมโครซอฟต์เตือน ปรากฏครั้งแรกที่ CryptoSlate