Microsoft Merinci Kampanye Malware Windows Clipper Menggunakan USB LNK Worm dan C2 Berbasis Tor

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan alat dan strategi keamanan siber. Microsoft telah mengungkapkan rincian kampanye clipper cryptocurrency berbasis Windows yang telah menargetkan pengguna sejak Februari 2026.

“Clipper dalam kampanye ini bergantung pada Windows Script Host dan logika yang digerakkan oleh ActiveX untuk meluncurkan proxy Tor yang dibundel dan melakukan polling pada server C2 [perintah-dan-kontrol] layanan tersembunyi,” kata Tim Riset Keamanan Microsoft Defender dalam sebuah analisis yang diterbitkan Selasa. “Ia melakukan pencurian clipboard frekuensi tinggi, eksfiltrasi tangkapan layar, dan substitusi alamat dompet.”

Malware Clipper mengacu pada jenis perangkat lunak berbahaya yang secara diam-diam memantau clipboard pengguna dan mencegat data sensitif yang ditempelkan ke buffer jangka pendek. Ini terutama menargetkan transaksi mata uang kripto dengan mengganti string alamat dompet yang cocok dengan pola alamat blockchain yang diketahui untuk merutekannya kembali ke alamat yang berada di bawah kendali mereka.

Serangan tersebut melibatkan pendistribusian file Windows Shortcut (LNK) berbahaya melalui perangkat penyimpanan USB, pembukaan yang memicu komponen worm yang memeriksa apakah mesin sudah terinfeksi dan hanya mengambil muatan dari server jauh jika tidak ada. Modul kedua yang diterapkan adalah clipper yang mengumpulkan dan menyaring informasi dompet mata uang kripto.

Komponen worm, selain memastikan propagasi ke drive USB lain yang tidak terkompromi, menyebarkan tugas terjadwal sebagai bentuk persistensi baik untuk komponen worm maupun komponen pencuri. Clipper, pada bagiannya, menggunakan WScript dan ActiveXObject untuk berinteraksi dengan sistem operasi, dan keluar jika Task Manager termasuk dalam daftar proses yang berjalan aktif untuk menghindari deteksi.

Raksasa teknologi ini telah merekomendasikan agar para pembela HAM memprioritaskan deteksi perilaku dibandingkan tanda tangan statis, khususnya mencari tangkapan layar berbasis PowerShell dan penggunaan WScript, CScript, atau mesin skrip terkait untuk meluncurkan curl, cmd. exe, PowerShell, atau executable yang tidak terduga.

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan alat dan strategi keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari thehackernews. com