Microsoft enthüllt neue Bedrohung durch Krypto-Trojaner: Kann sich über Tor anonym verbreiten und Wallet-Adressen übernehmen

Wie Odaily berichtet, hat das offizielle Threat Intelligence-Team von Microsoft eine Windows-Krypto-Trojaner-Bedrohung veröffentlicht, die seit Februar 2026 aktiv ist. Diese Schadsoftware kombiniert „Wurm-ähnliche Verbreitung + Zwischenablage-Manipulation + Tor-anonyme Kommunikation“ und zielt auf Nutzer digitaler Vermögenswerte ab.

Laut Microsoft-Analyse verbreitet sich die Schadsoftware über getarnte Verknüpfungsdateien (.lnk) zwischen Wechseldatenträgern. Sie nutzt WScript und ActiveX, um Skriptlogik auszuführen, installiert automatisch einen lokalen Tor-Client und verbindet sich über den Proxy 127.0.0.1:9050. Das C2-Server-Onion-Hidden-Service gewährleistet anonyme Steuerung und Datenrückübermittlung. Die Angriffskette umfasst mehrere bösartige Fähigkeiten: fortlaufende Überwachung von Zwischeninhalten, Diebstahl von Mnemonics und privaten Schlüsseln, Screenshot-Uploads sowie das sogenannte „Address Replacement“, bei dem beim Kopieren einer Kryptowährungsadresse die Zieladresse durch eine Adresse der Angreifer ersetzt wird, wodurch das Kapital abgefangen werden kann.

Darüber hinaus verfügt der Trojaner über Wurm-Funktionen, kann sich also selbstständig auf USB-Sticks und andere Geräte kopieren, geplante Aufgaben zur Persistenz erstellen und besitzt grundlegende Anti-Analyse-Fähigkeiten (z. B. Erkennung des Task-Managers zur Umgehung von Debugging).

Im Bereich der Erkennung hat Microsoft die Bedrohung der Serie Trojan:Win32/CryptoBandits zugeordnet und blockiert sie durch Verhaltensmuster (wie ungewöhnliche WScript-Aufrufe, Proxy-Datenverkehr über localhost:9050 und PowerShell-Screenshot-Aktionen). Sicherheitsforscher empfehlen, insbesondere die Ausführungspfade von Skripten und ungewöhnlichen lokalen Proxy-Verkehr zu überwachen.