USBを挿すだけで危険？暗号資産ウォレットを狙う新型マルウェアにマイクロソフトが警告

マイクロソフト・スレット・インテリジェンスが、Windowsユーザーに対し、USBドライブ経由で拡散する暗号資産クリッパー型マルウェアへの警戒を呼びかけている。

このマルウェアは2月以降、ユーザーに被害を与えている。マイクロソフトによると、「高頻度のクリップボード窃取、スクリーンショットの外部送信、ウォレットアドレスの差し替え」によって、ウォレット認証情報を盗み出すという。

この暗号資産クリッパーは、正規のファイルを隠したうえで、見た目がよく似たショートカットに置き換える。被害者は気づかぬままマルウェアを実行してしまい、さらにワーム機能によってUSBストレージデバイスへ自動的に感染が広がる仕組みだ。

厄介なのは、このマルウェアが単なる情報窃取ツールにとどまらない点にある。バックドアとしても機能するため、攻撃者は感染した端末上で任意のコードをいつでも送り込み、実行できる。つまり、単純な暗号資産の窃盗が、ランサムウェア攻撃の足がかりに化ける可能性がある。

マイクロソフトの研究者によれば、このクリッパーの実行手口も特徴的だ。従来型のインストーラーや、外部に露出したIPベースのインフラには依存していない。

「このマルウェアファミリーは、軽量なスクリプトベースの窃取ツールであっても、匿名化された通信や実行時のタスク処理と組み合わさることで、想像以上に大きな影響を及ぼし得ることを示している」

Torネットワークで痕跡を隠す

このマルウェアは、難読化された2つのJavaScriptペイロードをWindowsのドキュメントディレクトリに展開し、ワーム機能と窃取機能の双方についてスケジュールタスクを作成する。

さらに、被害者のPCにTorのコピーを密かにインストールする。ただし、そのファイル名は「ugate.exe」に変更され、一見無害なものに見えるよう偽装されている。その後、匿名化ネットワークであるTorを使い、隠された「.onion」アドレス上の攻撃者のサーバーへ接続する。

「Tor経由のC2通信、クリップボードの標的化、スクリーンショット取得、リモートコード実行が組み合わさることで、攻撃者は即座に金銭化できる経路と、侵害端末への継続的な支配の両方を手に入れる」とマイクロソフトは述べている。

Crypto clipper execution flow. Source: Microsoft

秘密鍵とシードフレーズが標的に

この暗号資産クリッパーは、クリップボード内の「高価値な金融関連データ」を狙う。標的には、BIP39形式のニーモニックシードフレーズ、ビットコインやイーサリアムの秘密鍵などが含まれる。

また、コピーされたウォレットアドレスを、攻撃者が管理するアドレスに差し替える機能も備えている。対象はビットコイン、トロン、モネロに及ぶ。さらに、追加情報を得るために10秒ごとにスクリーンショットを撮影する。

Microsoft Defender Antivirusは、このマルウェアを「Trojan:Win32/CryptoBandits.A」として検出する。

マイクロソフトは対策として、リムーバブルメディアの自動再生を無効にすること、USBドライブからの「.lnk」ファイル実行をブロックすること、プロキシ活動や生成されたスクリプトを監視することを推奨している。

2026年に入り、Windowsを標的とする暗号資産窃取型マルウェアは大きく増加している。今月初めには、ブラウザ拡張機能や暗号資産ウォレットを狙う新たなWindowsマルウェア「ルシッド・スティーラー」が、フォーサイト・スレット・インテル・チームによって確認されている。