{"id":426563,"date":"2026-06-22T09:32:14","date_gmt":"2026-06-22T09:32:14","guid":{"rendered":"https:\/\/www.europesays.com\/pt\/426563\/"},"modified":"2026-06-22T09:32:14","modified_gmt":"2026-06-22T09:32:14","slug":"cryptobandits-usa-usb-para-atacar-carteiras-cripto","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/pt\/426563\/","title":{"rendered":"CryptoBandits usa USB para atacar carteiras cripto"},"content":{"rendered":"

A Microsoft alertou<\/a> que o malware CryptoBandits.A, ativo desde fevereiro de 2026, mira carteiras de criptomoedas<\/a> por meio de arquivos de atalho maliciosos do Windows em dispositivos USB. A amea\u00e7a combina propaga\u00e7\u00e3o por m\u00eddia remov\u00edvel, roubo de segredos de carteira, troca de endere\u00e7os copiados e comunica\u00e7\u00e3o com servidores de comando e controle pela rede Tor.<\/p>\n

Al\u00e9m disso, o malware monitora a \u00e1rea de transfer\u00eancia aproximadamente a cada 500 milissegundos. Assim, ele tenta identificar frases-semente, chaves privadas e endere\u00e7os de carteiras. Em um computador Windows comprometido, o invasor pode trocar o endere\u00e7o copiado pelo usu\u00e1rio, capturar dados de recupera\u00e7\u00e3o e enviar capturas de tela com contexto da carteira.<\/p>\n

Atalhos em USB simulam arquivos comunsCryptoBandits oculta documentos e cria c\u00f3pias falsas<\/p>\n

Segundo a Microsoft, o acesso inicial ocorre por arquivos .lnk maliciosos, inclusive atalhos distribu\u00eddos em unidades USB. Em seguida, o malware executa um componente de worm, procura arquivos como .doc, .xlsx e .pdf, oculta os originais e cria novos atalhos com os mesmos nomes.<\/p>\n

Dessa forma, o usu\u00e1rio acredita que abriu um documento normal armazenado no pendrive. No entanto, ele inicia a carga maliciosa. A Microsoft associa esse comportamento \u00e0 replica\u00e7\u00e3o<\/a> por m\u00eddia remov\u00edvel, descrita pelo MITRE ATT&CK. No contexto de autocust\u00f3dia, o impacto \u00e9 direto. Afinal, o mesmo computador usado para assinar transa\u00e7\u00f5es passa a integrar a superf\u00edcie de ataque.<\/p>\n

Depois da execu\u00e7\u00e3o do atalho, o malware deposita cargas em JavaScript ofuscado em C:UsersPublicDocuments. Tamb\u00e9m cria tarefas agendadas para persist\u00eancia e mant\u00e9m uma delas dedicada a se espalhar para novas unidades USB conectadas. Ao mesmo tempo, outra tarefa executa as fun\u00e7\u00f5es de roubo de dados. Assim, abrir um arquivo em um pendrive compartilhado pode comprometer o dispositivo antes mesmo de qualquer software de carteira ser iniciado.<\/p>\n

\u00c1rea de transfer\u00eancia vira alvo centralMalware busca frases-semente, chaves e endere\u00e7os<\/p>\n

A an\u00e1lise mostra por que um clipper \u00e9 especialmente perigoso em cen\u00e1rios de autocust\u00f3dia. Ap\u00f3s se registrar no servidor de comando e controle, o CryptoBandits entra em um ciclo cont\u00ednuo de verifica\u00e7\u00e3o da \u00e1rea de transfer\u00eancia. O intervalo fica em torno de meio segundo. A busca inclui frases-semente BIP39 de 12 ou 24 palavras, chaves WIF de Bitcoin, chaves de Ethereum e endere\u00e7os de criptomoedas.<\/p>\n

Se encontrar uma frase-semente ou chave privada, o CryptoBandits pode salvar o material localmente e exfiltr\u00e1-lo por meio da rede Tor. Al\u00e9m disso, se detectar um endere\u00e7o de criptomoeda copiado, o malware pode substitu\u00ed-lo por um endere\u00e7o controlado pelo criminoso. Em alguns formatos, a troca tenta manter semelhan\u00e7a visual suficiente para passar por uma checagem apressada.<\/p>\n

Esse m\u00e9todo inclui coincid\u00eancia dos primeiros caracteres em endere\u00e7os de Bitcoin, Tron ou Monero. Tamb\u00e9m inclui a altera\u00e7\u00e3o de apenas um caractere final em certos endere\u00e7os Bech32 de Bitcoin.<\/p>\n

A pr\u00f3pria Microsoft j\u00e1 havia tratado a substitui\u00e7\u00e3o de endere\u00e7os na \u00e1rea de transfer\u00eancia como um problema recorrente de roubo de carteiras. Em 17 de maio de 2022, a empresa descreveu<\/a> t\u00e9cnicas de intercepta\u00e7\u00e3o de dados de carteira antes da conclus\u00e3o da transa\u00e7\u00e3o. No caso do CryptoBandits.A, esse padr\u00e3o aparece combinado com propaga\u00e7\u00e3o via USB e tr\u00e1fego de comando roteado pela rede Tor.<\/p>\n

Da mesma forma, a MetaMask<\/a> trata frases-semente e chaves privadas como segredos de controle da carteira. Ademais, a carteira orienta<\/a> os usu\u00e1rios a verificar endere\u00e7os de destino antes de confirmar envios de tokens. O CryptoBandits ataca exatamente esses dois pontos.<\/p>\nComportamento observadoRisco de cust\u00f3diaResposta pr\u00e1tica<\/tr>\n\nArquivos de atalho USB maliciosos<\/td>\nUma a\u00e7\u00e3o comum de abrir arquivo pode iniciar o worm.<\/td>\nDesativar AutoRun ou AutoPlay quando poss\u00edvel e bloquear a execu\u00e7\u00e3o de .lnk a partir de unidades remov\u00edveis.<\/td>\n<\/tr>\n\nMonitoramento da \u00e1rea de transfer\u00eancia e troca de endere\u00e7os<\/td>\nO endere\u00e7o do destinat\u00e1rio pode ser alterado antes do envio.<\/td>\nVerificar o destino completo em uma tela confi\u00e1vel e n\u00e3o depender apenas do conte\u00fado copiado.<\/td>\n<\/tr>\n\nExtra\u00e7\u00e3o de frases-semente e chaves privadas<\/td>\nSegredos de controle da carteira podem sair do dispositivo antes de qualquer movimenta\u00e7\u00e3o onchain.<\/td>\nManter o material de recupera\u00e7\u00e3o fora de m\u00e1quinas conectadas \u00e0 rede e tratar a exposi\u00e7\u00e3o como evento de rota\u00e7\u00e3o da carteira.<\/td>\n<\/tr>\n\nEnvio de capturas de tela<\/td>\nO invasor pode visualizar contexto da carteira, saldos e fluxos de recupera\u00e7\u00e3o.<\/td>\nEvitar exibir material sens\u00edvel de carteiras em m\u00e1quinas de uso geral.<\/td>\n<\/tr>\n\nTr\u00e1fego de comando pela Tor via localhost:9050<\/td>\nO bloqueio por destino se torna mais dif\u00edcil com o uso de proxy local.<\/td>\nInvestigar cadeias de script para rede, uso de curl e comportamento de proxy SOCKS5 local.<\/td>\n<\/tr>\n

\"Infogr\u00e1ficoInfogr\u00e1fico mostra o fluxo do CryptoBandits.A, da execu\u00e7\u00e3o por atalho USB ao comando e controle pela rede Tor.Carteiras de hardware reduzem, mas n\u00e3o zeram o riscoComputador infectado continua vulner\u00e1vel<\/p>\n

A Microsoft destaca que a prote\u00e7\u00e3o por hardware segue entre as defesas mais fortes para isolar chaves privadas. Ainda assim, ela n\u00e3o torna confi\u00e1vel a \u00e1rea de transfer\u00eancia de um computador comprometido. Se o usu\u00e1rio copia um endere\u00e7o de dep\u00f3sito de exchange, de pagamento ou de transfer\u00eancia em uma m\u00e1quina infectada, o malware pode alterar esse valor antes da colagem.<\/p>\n

Se a confer\u00eancia ocorrer apenas com alguns caracteres iniciais ou finais, um endere\u00e7o adulterado para parecer semelhante pode passar despercebido. Al\u00e9m disso, o problema se torna mais grave no caso das frases-semente. Uma frase de recupera\u00e7\u00e3o digitada ou copiada em um computador Windows comprometido representa risco de comprometimento remoto da carteira. Segundo a Microsoft, o malware consegue identificar frases no padr\u00e3o BIP39 e envi\u00e1-las ao servidor de comando e controle.<\/p>\n

Por isso, usu\u00e1rios individuais e equipes que movimentam fundos devem tratar o comportamento do endpoint como parte do processo de cust\u00f3dia. Um dispositivo usado para consultar saldos, preparar transfer\u00eancias, fazer ponte de ativos ou retirar recursos de uma exchange precisa ter perfil de risco diferente. Ele n\u00e3o deve seguir o mesmo padr\u00e3o de uma esta\u00e7\u00e3o de trabalho que abre arquivos de m\u00eddias remov\u00edveis desconhecidas. Nesse sentido, a separa\u00e7\u00e3o de fun\u00e7\u00f5es continua sendo a medida mais \u00fatil.<\/p>\n

Detec\u00e7\u00e3o depende de comportamento suspeitoMicrosoft cita sinais t\u00e9cnicos e mitiga\u00e7\u00e3o<\/p>\n

As orienta\u00e7\u00f5es da Microsoft para mitiga\u00e7\u00e3o s\u00e3o centradas em comportamento. A empresa recomenda desativar AutoRun e AutoPlay para m\u00eddias remov\u00edveis. Tamb\u00e9m recomenda bloquear a execu\u00e7\u00e3o de .lnk a partir dessas unidades por meio de Group Policy quando poss\u00edvel. Al\u00e9m disso, orienta restringir o uso desnecess\u00e1rio de mecanismos de script, como wscript.exe e cscript.exe. A revis\u00e3o de regras de redu\u00e7\u00e3o de superf\u00edcie de ataque tamb\u00e9m entra nas recomenda\u00e7\u00f5es, sobretudo contra scripts ofuscados e cadeias suspeitas de processos filhos.<\/p>\n

Para equipes de seguran\u00e7a, os sinais mais fortes incluem mecanismos de script iniciando ferramentas como curl, cmd.exe, PowerShell ou execut\u00e1veis inesperados. Al\u00e9m disso, a Microsoft cita atividade de proxy SOCKS5 local em localhost:9050, comportamentos ligados \u00e0 \u00e1rea de transfer\u00eancia e uso de PowerShell para captura de tela em dispositivos que lidam com fluxos financeiros sens\u00edveis.<\/p>\n

Esses ind\u00edcios se alinham a t\u00e9cnicas conhecidas do MITRE ATT&CK para coleta<\/a> de \u00e1rea de transfer\u00eancia, uso de proxy<\/a> em comando e controle e persist\u00eancia por tarefas agendadas<\/a>.<\/p>\n

Por fim, a Microsoft Defender indica capacidade de detec\u00e7\u00e3o para o CryptoBandits, incluindo a identifica\u00e7\u00e3o Trojan:Win32\/CryptoBandits.A e outras detec\u00e7\u00f5es associadas a JavaScript. A cobertura EDR tamb\u00e9m abrange processos suspeitos em JavaScript, exfiltra\u00e7\u00e3o com curl e atividade do Agendador de Tarefas. O relat\u00f3rio n\u00e3o informa n\u00famero de v\u00edtimas, valores confirmados de roubo, distribui\u00e7\u00e3o geogr\u00e1fica nem atribui\u00e7\u00e3o formal a um grupo espec\u00edfico. Ainda assim, a empresa afirma que o comportamento observado j\u00e1 basta para mostrar que um fluxo de carteira pode ser comprometido antes mesmo de a transa\u00e7\u00e3o chegar \u00e0 blockchain.<\/p>\n

*Este artigo \u00e9 para fins informativos. N\u00e3o visa aconselhamento de investimento, financeiro, jur\u00eddico, tribut\u00e1rio ou outro qualquer.<\/p>\n

\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014<\/p>\n

Acesse o canal Webitcoin<\/strong> no WhatsApp<\/a><\/strong><\/p>\n

Lembre de ativar as notifica\u00e7\u00f5es para n\u00e3o perder nada!<\/p>\n

Acompanhe nossas not\u00edcias tamb\u00e9m pelo nosso Instagram<\/strong><\/a><\/p>\n

\u00a0<\/p>\n