Microsoft объявила о новой угрозе в виде крипто-трояна: он может распространяться анонимно через Tor и перехватывать адреса кошельков

Odaily сообщает, что команда по угрозам безопасности Microsoft официально сообщила о криптовирусе для Windows, активном с февраля 2026 года. Зловред сочетает «червеобразное распространение, захват содержимого буфера обмена, анонимную связь через Tor» и нацелен на пользователей цифровых активов.

Согласно анализу Microsoft, вредоносная программа распространяется с помощью маскируемых файлов ярлыков (.lnk) между переносными накопителями, использует WScript и ActiveX для выполнения скриптовой логики, автоматически разворачивает локальный клиент Tor и подключается через прокси 127.0.0.1:9050. C2 сервер скрытого сервиса .onion обеспечивает анонимное управление и передачу данных. Цепочка атаки включает несколько вредоносных функций: постоянный мониторинг содержимого буфера обмена, кражу мнемонических фраз и приватных ключей, загрузку снимков экрана, а также «подмену адреса» при копировании пользователем адреса криптовалюты — скрипт заменяет адрес на кошелек, находящийся под контролем злоумышленников, что приводит к хищению средств.

Кроме того, вирус обладает способностью распространяться как червь, автоматически копируя себя на устройства типа флеш-накопителей, создавая задачи для автозапуска и обеспечивая постоянную работу, а также имеет базовые функции противоанализа (обнаружение диспетчера задач для обхода отладки).

На уровне обнаружения Microsoft классифицировала угрозу как Trojan:Win32/CryptoBandits и реализовала блокировку по поведенческим признакам (например, необычные вызовы WScript, прокси-трафик через localhost:9050 и действия PowerShell по созданию скриншотов). Эксперты по безопасности рекомендуют внимательно защищать пути исполнения скриптов и мониторить подозрительный локальный прокси-трафик.