LONDON (IT BOLTWISE) – Microsoft Threat Intelligence meldet den seit Februar aktiven Trojaner CryptoBandits, der sich über USB-Sticks wie ein Wurm verbreitet und via Tor mit Steuerservern kommuniziert. Besonders kritisch: Alle 500 Millisekunden überwacht die Malware die Zwischenablage und ersetzt Wallet-Adressen in Sekundenbruchteilen. Zusätzlich arbeitet sie als echte Hintertür, sammelt Screenshots und lässt gezielt Code ausführen. Parallel dazu zeigt eine zweite Kampagne von Check Point, wie Social Engineering und KI-Elemente das Vertrauen in Krypto-Angebote unterwandern.
Seit Februar 2026 schlägt eine neue Welle von Krypto-Malware Wellen in Unternehmensumgebungen und bei Privatanwendern: Der Trojaner CryptoBandits ist nach Angaben von Microsoft Threat Intelligence als Trojan:Win32/CryptoBandits.A klassifiziert und zeigt ein Muster, das eher nach “Kampagnenbaukasten” als nach einem einzelnen Zufallsbefall wirkt. Auffällig ist die Kombination aus USB-Verbreitung, Anonymitätsinfrastruktur und aktiver Datendiebstahl-Logik. Für IT-Security-Teams bedeutet das vor allem eines: Die typischen Schutzschichten gegen einzelne Phishing-Versuche greifen hier nur teilweise, weil der Einstieg offline über Wechseldatenträger und die Persistenz über geplante Systemaktionen erfolgt.
Technisch beginnt der Befall meist harmlos: Ein infizierter USB-Stick enthält manipulierte .lnk-Verknüpfungen. Sobald ein Nutzer die Datei anklickt, übernimmt die Schadsoftware die Kontrolle und startet eine Wurm-ähnliche Ausbreitung, indem sie unmittelbar nach weiteren USB-Geräten sucht und auch diese infiziert. Damit verschiebt sich der Angriff von “E-Mail als Eintritt” hin zu “physischer Transportweg als Multiplikator”. Für die Verteidigung ist das relevant, weil USB-Policy, Device Control und Monitoring in vielen Unternehmen historisch ungleich behandelt wurden und häufig weniger granular sind als bei E-Mail- und Web-Schutz.
Damit CryptoBandits nicht erkannt wird, setzt der Trojaner auf mehrere Tarnmechanismen. Microsoft beschreibt, dass die Malware ihre Aktivitäten stoppt, sobald der Task-Manager sichtbar ist. Zusätzlich installiert sie sich über geplante Aufgaben tief im System, sodass ein Neustart allein den Zustand nicht beendet. Die Steuerkommunikation läuft über einen Tor-Proxy auf dem lokalen Port 9050, aufgebaut unter anderem mit Windows Script Host und ActiveX. Diese Architektur ist praxisnah für Angreifer: Sie reduziert die direkte Zuordenbarkeit von Verbindungen und erschwert Netzwerkbasierte Erkennung, weil der Traffic eher nach generischem Tor-ähnlichem Verhalten aussieht.
Der eigentliche Schaden zielt nicht auf “irgendeinen Kryptodieb”, sondern auf die Abwicklung realer Wallet-Transaktionen. CryptoBandits überwacht alle 500 Millisekunden die Zwischenablage: Wenn ein Nutzer eine Wallet-Adresse kopiert, ersetzt der Trojaner diese blitzschnell durch eine Adresse der Angreifer. Dadurch werden Zahlungen, die aus Sicht des Nutzers korrekt wirken, funktional umgeleitet. Besonders problematisch ist das bei sogenannten “Copy-Paste”-Workflows, die in Krypto-Toolchains weit verbreitet sind. Microsoft nennt außerdem mehrere betroffene Formate und Blockchains, darunter Bitcoin-Varianten sowie Ethereum, Tron und Monero.
Noch kritischer wird es, weil der Diebstahl nicht nur bei Adressen ansetzt. Die Malware kann Wiederherstellungs-Phrasen, häufig als 12 oder 24 Wörter nach BIP39-Standard bekannt, sowie private Schlüssel aus der Zwischenablage abgreifen. Damit ist das Risiko nicht “nur” betrügerische Auszahlung, sondern vollständige Account-Kompromittierung einschließlich Wiederherstellung. Aus Sicht des Enterprise-Risikomanagements ist das ein starker Hinweis, dass Schutzkonzepte wie reine Endpoint-Härtung ohne Secret-Handling-Strategien nicht ausreichen: Wer Recovery Phrases oder Keys in Dokumenten, Chat-Tools oder Zwischenablage-Zwischenstopps verarbeitet, läuft trotz Antiviren-Signaturen Gefahr.
CryptoBandits arbeitet zudem als vollwertige Hintertür. Über periodische Screenshots, die etwa im Zehn-Sekunden-Takt anfallen, können Angreifer Nutzerverhalten nachvollziehen, Transaktions- oder Wallet-Aktivitäten rekonstruieren und zielgenauer reagieren. Über einen speziellen EVAL-Befehl können sie darüber hinaus eigenen Code auf dem infizierten Rechner ausführen. Für die Detektion rät Microsoft Sicherheitsteams, besonders auf das Zusammenspiel von Windows Script Host (WScript/cscript.exe) und unerwarteten Folgeprozessen wie PowerShell oder curl zu achten. Gleiches gilt für untypischen Datenverkehr zum Tor-Proxy-Port: In vielen Netzen ist Port 9050 kein “normaler” Zielport für Standard-Workloads.
Während CryptoBandits stark auf technische Durchdringung setzt, zeigt die Parallelentwicklung aus der Branche, dass Krypto-Diebe immer häufiger Social Engineering als verstärkenden Faktor nutzen. Wie Check Point berichtet, wurde eine zweite Kampagne entdeckt, die auf Windows und macOS zielt und statt auf USB-Sticks auf vertrauensbildende Täuschungen setzt: Fake-Bewertungen, KI-generierte Sprecher und koordinierte Kommentare auf Plattformen sowie die Nutzung automatisierter Referenzen sollen den Eindruck legitimer Tools erzeugen. In der Praxis zeigt sich hier der Trend, dass KI nicht primär die Schadsoftware “macht”, sondern die Täuschungsqualität anhebt, wodurch auch erfahrene Nutzer leichter in Routinen geraten.
Für Unternehmen ergibt sich daraus eine klare Sicherheitslogik: Wer Krypto-Workflows unterstützt, muss Secret-Handling und Prozesskontrollen genauso ernst nehmen wie Endpoint-Schutz. In der Vergangenheit zielten viele Schutzmaßnahmen vor allem auf signaturbasierte Malware-Erkennung und reine E-Mail-/Web-Filter, doch Wurmverhalten über USB und clipboard-basierte Manipulation umgehen diese Annahmen. Im Marktvergleich positionieren sich etablierte Anbieter meist entlang zweier Linien: Behavioral Detection für unerwartete Prozessketten und starke Device-Governance für Wechseldatenträger. Gleichzeitig sollten Security-Teams regelmäßig prüfen, ob Token-/Wallet-Integrationen auf “Copy-Paste ohne Verifikation” beruhen und wie Transaktionen gegen Adressmanipulation abgesichert werden. Experten empfehlen hierfür häufiger, kritische Eingaben getrennt zu verifizieren und innerhalb von sicheren Kontexten zu verarbeiten.
Der Ausblick fällt entsprechend anspruchsvoll aus: Angreifer testen gerade mehrere Ebenen parallel—Hardware-Einstieg, Persistenz, anonyme Steuerkanäle und gezielte Eingriffsstellen wie die Zwischenablage. Gleichzeitig wird KI-gestütztes Social Engineering als Skalierungshebel für Vertrauen eingesetzt, was die Kampagnenlanglebigkeit erhöhen dürfte. In den nächsten Monaten ist daher mit mehr Varianten zu rechnen, bei denen USB-ähnliche Ausbreitung mit plattformübergreifenden Täuschungen kombiniert wird. Für Entwickler und Betreiber von Wallet-ähnlichen Produkten bedeutet das eine Chance: Sicherheitsfunktionen wie Clipboard-Schutz, programmatische Adressverifikation und klare UI-Guardrails werden zu einem Wettbewerbsvorteil, nicht zu einer optionalen Feature-Wunschliste.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CryptoBandits: Microsoft warnt vor USB-Wurm und Tor-Backdoor gegen Kryptowallets" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CryptoBandits: Microsoft warnt vor USB-Wurm und Tor-Backdoor gegen Kryptowallets" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CryptoBandits: Microsoft warnt vor USB-Wurm und Tor-Backdoor gegen Kryptowallets« bei Google Deutschland suchen, bei Bing oder Google News!