Microsoft нашла червя, который ворует крипто-кошельки через USB

Корпорация Microsoft зафиксировала вредоносную кампанию, нацеленную на держателей Bitcoin и Ethereum: с февраля 2026 года по Windows-устройствам распространяется червь, заражающий компьютеры через обычные USB-накопители. Антивирус Defender определяет угрозу как Trojan:Win32/CryptoBandits, а индустрия называет такой тип ПО «crypto clipper» — по его главной функции, подмене скопированных адресов кошельков.

Заражение начинается с вредоносного .lnk-файла на флешке: после открытия ярлыка на компьютер устанавливается червь, который одновременно запускает кражу данных и ищёт новые чистые накопители для дальнейшего распространения. Вредонос проверяет буфер обмена Windows примерно каждые 500 миллисекунд — если пользователь копирует seed-фразу, приватный ключ или адрес для перевода, данные перехватываются и уходят через сеть Tor, а адрес получателя может незаметно подменяться на кошелёк злоумышленника. Дополнительно зловред делает пять скриншотов экрана с интервалом в десять секунд и отправляет их атакующему тем же каналом.

Распространяется червь старым способом, но эффективно: на чистой флешке он скрывает обычные документы — PDF, таблицы, Word-файлы — и заменяет их одноимёнными вредоносными ярлыками, из-за чего следующий пользователь, открывая «свой файл», заново запускает заражение. При получении специальной команды с управляющего сервера малварь способна выполнять произвольный код прямо на заражённой машине.

Microsoft рекомендует отключить автозапуск со съёмных носителей, заблокировать выполнение .lnk-файлов с USB и следить за нетипичной активностью процессов wscript.exe, cscript.exe, а также неожиданными запусками curl и PowerShell. Для трейдеров и держателей крипты история — лишнее напоминание: кошельки чаще теряют не из-за взлома бирж, а из-за привычки бездумно копировать адрес перед переводом. Перед подтверждением любой транзакции с Bitcoin или Ethereum стоит сверять адрес получателя посимвольно, а не полагаться на автовставку из буфера обмена.