Microsofts Threat-Intelligence-Team hat CryptoBandits gemeldet, eine Malware-Familie, die in mindestens acht Steam-Spielen verpackt ist und infizierte Rechner zu Drehpunkten für Wallet-Diebstahl macht. Der Köder zielt auf die übliche Steam-Nutzung, die Payload aber auf die Wallet-Spuren direkt daneben.
So funktioniert die Kette
CryptoBandits legt USB-Verknüpfungsdateien (.lnk) ab, die sich als legitime Laufwerke tarnen. Sobald ein Opfer einen USB-Stick einsteckt, greift die Malware über die Verknüpfung nach außen, kapert Clipboard-Aktivität, um Wallet-Adressen mitten beim Einfügen umzuschreiben, und leitet ausgehenden Traffic über Tor, um die Zuordnung zu erschweren. Im letzten Schritt werden Tokens und Seed-Phrasen aus Browser- und Desktop-Wallet-Abläufen exfiltriert, bevor Gelder bewegt werden.
Warum das wichtig ist
Microsofts Forschungsteam, darunter Liam "Akiba" Wright, verknüpfte einen command-and-control-Fingerabdruck mit einer Reihe verdächtiger Uber Eats-Lieferbestätigungen in Posteingängen von Opfern. Das deutet darauf hin, dass die Betreiber Infrastruktur im Verbrauchermassstab testen, bevor sie sie gegen höherwertige Ziele einsetzen. Die Kombination aus massenhaft verbreiteten Spielen, USB-basierter Weiterverbreitung und Clipboard-Austausch rückt die Kampagne klar in die Kategorie breit angelegter Stealer-Malware statt einer gezielten Operation.
Häufig gestellte Fragen
-
Was ist die CryptoBandits-Malware?
CryptoBandits ist eine Malware-Familie, die Microsoft in mindestens acht Steam-Spielen gemeldet hat. Sie legt gefälschte USB-Verknüpfungsdateien ab, überwacht das Clipboard, um Wallet-Adressen umzuschreiben, und nutzt Tor, um Tokens und Seed-Phrasen zu exfiltrieren.
-
Wie stiehlt CryptoBandits Krypto?
Die Malware platziert bösartige .lnk-Dateien, die aktiv werden, wenn ein Opfer ein USB-Laufwerk einsteckt, und kapert dann Clipboard-Aktivität, um eingefügte Wallet-Adressen mitten in der Transaktion auszutauschen. Ausgehender Traffic wird über Tor geleitet, um die Zuordnung zu verschleiern, bevor Gelder bewegt werden.
-
Warum bringt Microsoft die Kampagne mit Uber Eats in Verbindung?
Das Team des Forschers Liam "Akiba" Wright fand heraus, dass ein command-and-control-Fingerabdruck zusammen mit verdächtigen Uber Eats-Lieferbestätigungen in Posteingängen von Opfern auftauchte. Das deutet darauf hin, dass Betreiber Infrastruktur im Verbrauchermassstab einem Stresstest unterzogen.
-
Welche Wallets und Plattformen sind gefährdet?
Microsofts Bericht zielt auf browserbasierte und Desktop-Wallet-Abläufe, einschliesslich Seed-Phrase-Speichern auf infizierten Maschinen. Jede Wallet, deren Adresse während einer Transaktion durch das Clipboard läuft, ist dem Austausch ausgesetzt.
-
Wie können sich Nutzer vor Clipboard-swapping-Stealern schützen?
Wallet-Adressen vor der Bestätigung Zeichen für Zeichen prüfen, Seed-Phrasen von internetverbundenen Maschinen fernhalten, unbekannte USB-Geräte als feindlich behandeln und keine unsignierte oder raubkopierte Software ausführen, einschliesslich ungeprüfter Steam-Titel.
Lookonchain
WatcherGuru
CoinTelegraph
TheBlock
CoinDesk