{"title":"Ваша флешка — теперь охотник за seed-фразами. Microsoft нашла червя, который ездит на USB и прячется в Tor","url":"https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency/","markdownUrl":"https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency.md","language":"ru","category":"news","publishedAt":"2026-06-24T15:00:16.000Z","updatedAt":"2026-06-24T15:00:16.000Z","references":["https://arstechnica.com/security/2026/06/microsoft-spots-new-self-propagating-malware-for-stealing-cryptocurrency/","https://news.google.com/rss/articles/CBMitAFBVV95cUxNLWo3dnIta1VubUs5SWVmaHd4a0VmS2xFVUJxVWJLejJ0Zng0ODRpdUJqclVnY1F2ekpXNnBfc05VRHRUbFBCa1hyYmt2Wi1lWlNmWlpRdkZrNzg3MWpZSGRNRmxrbDhwRzU5eG5sMC1zcGhYMElvRV9BVkxzWDZ5MXdnSXFlYkNZZG5ldDA0TWl0eXBlVjlhRllUcHRqUno5Z2x6R3pVS2M0cEdaT09MNDloY0M?oc=5","https://news.google.com/rss/articles/CBMitgFBVV95cUxOT2F6NlM5VHFLY2lWc3JxbWwzbV8zYUg4RUswY2xaS1ZGbUdJMEJvSFJrazJ6bUNwYjF0NGlUUWhVeWZOQkN2NUV0cFF3U05jb3F1UTZCX3JvYl9reTFmWXgyVGdVZG9QcWRHZ251ckY0aWFxRURXbzE1MXNybnZPOGxXcTU4ZC0tdi13dk5nNnBnaEloQlNvUGE0Rm1BdHZaTnh4VC0yQzZUOHlMSDkwNzM3dTR2dw?oc=5","https://news.google.com/rss/articles/CBMixgFBVV95cUxNS0dBOHlqLW93XzJDSFlnNHlpVWxoWjE3bGFBUm9feGpLWWs4a1hPMDMyTEFhUjRBeTZKVHM0dnFXUWgySFB4ZmduUzJ6WFlMdHFBZXdiYVFJU1NhZGppVXVRVDh1S1RJMkJNYU96Z2hteU1hR0NkLVEtRjJVbEpsU2VtMmVZMHQweHYybHU3VVZ2V0JocUVmSFdBSm13R1JCN0dQb1BHNC1VU1NZaExtZjdyeVBHeklWdHdhX3B0VXkyeWRfWHc?oc=5"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# Ваша флешка — теперь охотник за seed-фразами. Microsoft нашла червя, который ездит на USB и прячется в Tor\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-06-24\n- Canonical: https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency/\n- Markdown: https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency.md\n- Summary: Crypto Clipper распространяется сам, маскируется под ваши файлы и ждёт, когда вы скопируете пароль от криптокошелька. И это работает без интернета через прокси-сервер.\n- Tags: #вредоносноепо #криптовалюта #microsoft #tor #usb-накопитель #кибербезопасность\n- Image: https://verapointmedia.com/static/content-assets/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency/cover.webp\n\n## Sources\n\n- https://arstechnica.com/security/2026/06/microsoft-spots-new-self-propagating-malware-for-stealing-cryptocurrency/\n- https://news.google.com/rss/articles/CBMitAFBVV95cUxNLWo3dnIta1VubUs5SWVmaHd4a0VmS2xFVUJxVWJLejJ0Zng0ODRpdUJqclVnY1F2ekpXNnBfc05VRHRUbFBCa1hyYmt2Wi1lWlNmWlpRdkZrNzg3MWpZSGRNRmxrbDhwRzU5eG5sMC1zcGhYMElvRV9BVkxzWDZ5MXdnSXFlYkNZZG5ldDA0TWl0eXBlVjlhRllUcHRqUno5Z2x6R3pVS2M0cEdaT09MNDloY0M?oc=5\n- https://news.google.com/rss/articles/CBMitgFBVV95cUxOT2F6NlM5VHFLY2lWc3JxbWwzbV8zYUg4RUswY2xaS1ZGbUdJMEJvSFJrazJ6bUNwYjF0NGlUUWhVeWZOQkN2NUV0cFF3U05jb3F1UTZCX3JvYl9reTFmWXgyVGdVZG9QcWRHZ251ckY0aWFxRURXbzE1MXNybnZPOGxXcTU4ZC0tdi13dk5nNnBnaEloQlNvUGE0Rm1BdHZaTnh4VC0yQzZUOHlMSDkwNzM3dTR2dw?oc=5\n- https://news.google.com/rss/articles/CBMixgFBVV95cUxNS0dBOHlqLW93XzJDSFlnNHlpVWxoWjE3bGFBUm9feGpLWWs4a1hPMDMyTEFhUjRBeTZKVHM0dnFXUWgySFB4ZmduUzJ6WFlMdHFBZXdiYVFJU1NhZGppVXVRVDh1S1RJMkJNYU96Z2hteU1hR0NkLVEtRjJVbEpsU2VtMmVZMHQweHYybHU3VVZ2V0JocUVmSFdBSm13R1JCN0dQb1BHNC1VU1NZaExtZjdyeVBHeklWdHdhX3B0VXkyeWRfWHc?oc=5\n\n---\n\nПолучается странный парадокс: мы привыкли, что главная угроза для криптосбережений — это фишинговая ссылка в письме или дыра в смарт-контракте. Мы учимся не кликать на подозрительное и проверять адреса сайтов.\n\nА теперь представьте, что к вам в руки попала чужая флешка. Вы вставляете её в компьютер, чтобы посмотреть, что там. Возможно, даже не открываете файлы. И в этот момент программа, которую Microsoft назвала Crypto Clipper, начинает тихо ждать, пока вы скопируете seed-фразу от своего биткоин-кошелька.\n\nБезопасность перевернулась: угроза приходит не через интернет, а физически, но ворует цифровое. И Microsoft официально подтвердила, что это работает прямо сейчас.\n\n## Червь, который не спрашивает разрешения\n\nВ июне 2026 года исследователи Microsoft опубликовали отчёт о новом самораспространяющемся вредоносном ПО. Его назвали Crypto Clipper, и он устроен хитрее, чем можно предположить по названию.\n\nClipper — это тип вредоносной программы, которая следит за буфером обмена. Вы копируете адрес кошелька, чтобы перевести кому-то деньги, а вредонос незаметно подменяет его на адрес злоумышленника. Перевод уходит не туда. Но Crypto Clipper не просто подменяет адреса — он ещё и сам распространяется через USB-накопители.\n\nМеханика такая: на заражённой флешке лежит файл с расширением .lnk (это ярлык, который может запускать код). Когда вы вставляете такую флешку в компьютер, код проверяет — установлен ли уже червь на этой машине. Если нет, он скачивает себя через сеть Tor и закрепляется в системе.\n\nTor здесь — не просто способ скрыть следы. Это ключевой элемент всей схемы: червь разворачивает на вашем компьютере портативный Tor-клиент и пропускает через него весь свой трафик. Никакого прямого соединения с сервером злоумышленника, никакого IP-адреса в логах.\n\n## Почему это не очередной AI-шум\n\nОбычно когда говорят «новое вредоносное ПО», подразумевают очередную вариацию уже известной схемы. Тут случай другой — и Microsoft сама подчеркнула, что это не рядовой стилер.\n\nВо-первых, Crypto Clipper не зависит от традиционной командно-контрольной инфраструктуры. Большинство вредоносов стучатся на сервер злоумышленника напрямую — и этот сервер можно вычислить, заблокировать, отследить. Здесь же связь идёт через Tor и SOCKS5-прокси (это протокол, который пропускает трафик через промежуточный сервер, скрывая источник).\n\nВо-вторых, червь не просто крадёт данные, а умеет выполнять команды удалённо. Microsoft прямо называет это «лёгким бэкдором» — то есть злоумышленник получает не только разовый доступ к паролям, но и постоянный контроль над заражённой машиной.\n\nЭто превращает криптостилер в нечто большее: инструмент для долгосрочного присутствия в системе.\n\n## Что именно он ищет в вашем буфере обмена\n\nCrypto Clipper охотится не за любыми данными. Его цель — seed-фразы.\n\nЕсли вы не в криптомире: seed-фраза (или мнемоническая фраза) — это набор из 12 или 24 английских слов, который является ключом ко всем вашим криптокошелькам. Тот, кто знает эти слова, может восстановить кошелёк на своём компьютере и вывести все средства. Это буквально главный пароль вашей криптожизни.\n\nВредонос отслеживает буфер обмена на предмет последовательностей, похожих на стандартные seed-фразы. И когда находит — делает пять скриншотов экрана за десять секунд.\n\nЗачем скриншоты? Microsoft предполагает, что для контекста. Возможно, злоумышленник хочет понять, из какого приложения была скопирована фраза, какой кошелёк используется, чтобы точнее сработать. В любом случае — это дополнительный уровень компрометации: одно дело украсть пароль, другое — видеть экран жертвы.\n\n## Кому это важно: от криптоэнтузиаста до сисадмина\n\nНа первый взгляд кажется: «ну, я не держу крипту на рабочем компе, меня это не касается». Но сценарий заражения здесь — не «скачал подозрительный файл», а «вставил чужую флешку».\n\nЭто может быть флешка, найденная в коворкинге. Или подаренная на конференции. Или случайно забытая коллегой. А может, вы сами одолжили кому-то накопитель, и он вернулся уже с довеском.\n\nИТ-администраторам стоит прислушаться особенно: если в компании используют USB-накопители для переноса данных между машинами, один заражённый диск может превратиться в точку распространения по всей сети. Червь специально маскируется под легитимные файлы — он сканирует содержимое флешки и называет свои вредоносные ярлыки похожими именами.\n\nПользователи криптокошельков теряют деньги. Компании теряют контроль над устройствами. И всё это запускается простым подключением USB.\n\n## Где здесь PR, а где реальность\n\nКонечно, Microsoft не просто так публикует отчёт о новом вредоносном ПО. Часть задачи — напомнить, что их решения безопасности (Microsoft Defender и другие) умеют обнаруживать подобные угрозы. И да, в отчёте упоминается, что Defender детектирует Crypto Clipper.\n\nНо это не отменяет реальной проблемы.\n\nСам по себе вектор атаки — через USB — существует давно, и в этом смысле ничего сверхъестественного не произошло. Однако комбинация самораспространения, скрытой связи через Tor и нацеленности именно на криптоданные — это действительно новый уровень.\n\nОграничения тут такие: мы не знаем, насколько широко этот червь уже распространился «в дикой природе». Microsoft зафиксировала его, но не раскрыла масштабов. Возможно, это пока единичные случаи. А возможно — начало волны.\n\nИ ещё один нюанс: Windows по умолчанию давно отключила автозапуск для USB-накопителей. Но .lnk-файлы работают немного иначе — они могут запускаться, когда пользователь открывает папку с флешкой и видит «знакомый» ярлык.\n\n## Что делать прямо сейчас\n\nПравила защиты здесь не выглядят как rocket science, но их редко соблюдают полностью. Вот что я бы положила в свой личный чек-лист после этого отчёта:\n\n— Отключите автозапуск для всех сменных носителей. В Windows это делается через «Параметры автозапуска» в панели управления. Да, даже если кажется, что он и так отключён — проверьте.\n\n— Никогда не вставляйте незнакомую флешку в компьютер, на котором у вас открыты криптокошельки или хранятся seed-фразы.\n\n— Не держите seed-фразы в буфере обмена. Вообще никогда не копируйте их — это правило должно быть выжжено в подкорке.\n\n— Используйте аппаратные кошельки (hardware wallets) для значительных сумм. Они изолируют приватные ключи от компьютера, и даже если машина заражена, ключ не утекает.\n\n— Если вы ИТ-администратор, рассмотрите политику запрета USB-накопителей на критичных машинах или как минимум — автоматическое сканирование всех подключаемых устройств.\n\n— И да, антивирус с актуальными базами. В данном случае Microsoft Defender уже умеет детектировать Crypto Clipper.\n\nНа самом деле самое сложное здесь — не техническое, а поведенческое. Флешка от коллеги не выглядит как угроза. И именно этим червь и пользуется.\n\n## Материалы\n\n- [Ars Technica] Microsoft discovers new lightweight backdoor that steals cryptocurrency: https://arstechnica.com/security/2026/06/microsoft-spots-new-self-propagating-malware-for-stealing-cryptocurrency/\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMitAFBVV95cUxNLWo3dnIta1VubUs5SWVmaHd4a0VmS2xFVUJxVWJLejJ0Zng0ODRpdUJqclVnY1F2ekpXNnBfc05VRHRUbFBCa1hyYmt2Wi1lWlNmWlpRdkZrNzg3MWpZSGRNRmxrbDhwRzU5eG5sMC1zcGhYMElvRV9BVkxzWDZ5MXdnSXFlYkNZZG5ldDA0TWl0eXBlVjlhRllUcHRqUno5Z2x6R3pVS2M0cEdaT09MNDloY0M?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMitgFBVV95cUxOT2F6NlM5VHFLY2lWc3JxbWwzbV8zYUg4RUswY2xaS1ZGbUdJMEJvSFJrazJ6bUNwYjF0NGlUUWhVeWZOQkN2NUV0cFF3U05jb3F1UTZCX3JvYl9reTFmWXgyVGdVZG9QcWRHZ251ckY0aWFxRURXbzE1MXNybnZPOGxXcTU4ZC0tdi13dk5nNnBnaEloQlNvUGE0Rm1BdHZaTnh4VC0yQzZUOHlMSDkwNzM3dTR2dw?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMixgFBVV95cUxNS0dBOHlqLW93XzJDSFlnNHlpVWxoWjE3bGFBUm9feGpLWWs4a1hPMDMyTEFhUjRBeTZKVHM0dnFXUWgySFB4ZmduUzJ6WFlMdHFBZXdiYVFJU1NhZGppVXVRVDh1S1RJMkJNYU96Z2hteU1hR0NkLVEtRjJVbEpsU2VtMmVZMHQweHYybHU3VVZ2V0JocUVmSFdBSm13R1JCN0dQb1BHNC1VU1NZaExtZjdyeVBHeklWdHdhX3B0VXkyeWRfWHc?oc=5\n"}