Получается странный парадокс: мы привыкли, что главная угроза для криптосбережений — это фишинговая ссылка в письме или дыра в смарт-контракте. Мы учимся не кликать на подозрительное и проверять адреса сайтов.

А теперь представьте, что к вам в руки попала чужая флешка. Вы вставляете её в компьютер, чтобы посмотреть, что там. Возможно, даже не открываете файлы. И в этот момент программа, которую Microsoft назвала Crypto Clipper, начинает тихо ждать, пока вы скопируете seed-фразу от своего биткоин-кошелька.

Безопасность перевернулась: угроза приходит не через интернет, а физически, но ворует цифровое. И Microsoft официально подтвердила, что это работает прямо сейчас.

Червь, который не спрашивает разрешения

В июне 2026 года исследователи Microsoft опубликовали отчёт о новом самораспространяющемся вредоносном ПО. Его назвали Crypto Clipper, и он устроен хитрее, чем можно предположить по названию.

Clipper — это тип вредоносной программы, которая следит за буфером обмена. Вы копируете адрес кошелька, чтобы перевести кому-то деньги, а вредонос незаметно подменяет его на адрес злоумышленника. Перевод уходит не туда. Но Crypto Clipper не просто подменяет адреса — он ещё и сам распространяется через USB-накопители.

Механика такая: на заражённой флешке лежит файл с расширением .lnk (это ярлык, который может запускать код). Когда вы вставляете такую флешку в компьютер, код проверяет — установлен ли уже червь на этой машине. Если нет, он скачивает себя через сеть Tor и закрепляется в системе.

Tor здесь — не просто способ скрыть следы. Это ключевой элемент всей схемы: червь разворачивает на вашем компьютере портативный Tor-клиент и пропускает через него весь свой трафик. Никакого прямого соединения с сервером злоумышленника, никакого IP-адреса в логах.

Почему это не очередной AI-шум

Обычно когда говорят «новое вредоносное ПО», подразумевают очередную вариацию уже известной схемы. Тут случай другой — и Microsoft сама подчеркнула, что это не рядовой стилер.

Во-первых, Crypto Clipper не зависит от традиционной командно-контрольной инфраструктуры. Большинство вредоносов стучатся на сервер злоумышленника напрямую — и этот сервер можно вычислить, заблокировать, отследить. Здесь же связь идёт через Tor и SOCKS5-прокси (это протокол, который пропускает трафик через промежуточный сервер, скрывая источник).

Во-вторых, червь не просто крадёт данные, а умеет выполнять команды удалённо. Microsoft прямо называет это «лёгким бэкдором» — то есть злоумышленник получает не только разовый доступ к паролям, но и постоянный контроль над заражённой машиной.

Это превращает криптостилер в нечто большее: инструмент для долгосрочного присутствия в системе.

Что именно он ищет в вашем буфере обмена

Crypto Clipper охотится не за любыми данными. Его цель — seed-фразы.

Если вы не в криптомире: seed-фраза (или мнемоническая фраза) — это набор из 12 или 24 английских слов, который является ключом ко всем вашим криптокошелькам. Тот, кто знает эти слова, может восстановить кошелёк на своём компьютере и вывести все средства. Это буквально главный пароль вашей криптожизни.

Вредонос отслеживает буфер обмена на предмет последовательностей, похожих на стандартные seed-фразы. И когда находит — делает пять скриншотов экрана за десять секунд.

Зачем скриншоты? Microsoft предполагает, что для контекста. Возможно, злоумышленник хочет понять, из какого приложения была скопирована фраза, какой кошелёк используется, чтобы точнее сработать. В любом случае — это дополнительный уровень компрометации: одно дело украсть пароль, другое — видеть экран жертвы.

Кому это важно: от криптоэнтузиаста до сисадмина

На первый взгляд кажется: «ну, я не держу крипту на рабочем компе, меня это не касается». Но сценарий заражения здесь — не «скачал подозрительный файл», а «вставил чужую флешку».

Это может быть флешка, найденная в коворкинге. Или подаренная на конференции. Или случайно забытая коллегой. А может, вы сами одолжили кому-то накопитель, и он вернулся уже с довеском.

ИТ-администраторам стоит прислушаться особенно: если в компании используют USB-накопители для переноса данных между машинами, один заражённый диск может превратиться в точку распространения по всей сети. Червь специально маскируется под легитимные файлы — он сканирует содержимое флешки и называет свои вредоносные ярлыки похожими именами.

Пользователи криптокошельков теряют деньги. Компании теряют контроль над устройствами. И всё это запускается простым подключением USB.

Где здесь PR, а где реальность

Конечно, Microsoft не просто так публикует отчёт о новом вредоносном ПО. Часть задачи — напомнить, что их решения безопасности (Microsoft Defender и другие) умеют обнаруживать подобные угрозы. И да, в отчёте упоминается, что Defender детектирует Crypto Clipper.

Но это не отменяет реальной проблемы.

Сам по себе вектор атаки — через USB — существует давно, и в этом смысле ничего сверхъестественного не произошло. Однако комбинация самораспространения, скрытой связи через Tor и нацеленности именно на криптоданные — это действительно новый уровень.

Ограничения тут такие: мы не знаем, насколько широко этот червь уже распространился «в дикой природе». Microsoft зафиксировала его, но не раскрыла масштабов. Возможно, это пока единичные случаи. А возможно — начало волны.

И ещё один нюанс: Windows по умолчанию давно отключила автозапуск для USB-накопителей. Но .lnk-файлы работают немного иначе — они могут запускаться, когда пользователь открывает папку с флешкой и видит «знакомый» ярлык.

Что делать прямо сейчас

Правила защиты здесь не выглядят как rocket science, но их редко соблюдают полностью. Вот что я бы положила в свой личный чек-лист после этого отчёта:

— Отключите автозапуск для всех сменных носителей. В Windows это делается через «Параметры автозапуска» в панели управления. Да, даже если кажется, что он и так отключён — проверьте.

— Никогда не вставляйте незнакомую флешку в компьютер, на котором у вас открыты криптокошельки или хранятся seed-фразы.

— Не держите seed-фразы в буфере обмена. Вообще никогда не копируйте их — это правило должно быть выжжено в подкорке.

— Используйте аппаратные кошельки (hardware wallets) для значительных сумм. Они изолируют приватные ключи от компьютера, и даже если машина заражена, ключ не утекает.

— Если вы ИТ-администратор, рассмотрите политику запрета USB-накопителей на критичных машинах или как минимум — автоматическое сканирование всех подключаемых устройств.

— И да, антивирус с актуальными базами. В данном случае Microsoft Defender уже умеет детектировать Crypto Clipper.

На самом деле самое сложное здесь — не техническое, а поведенческое. Флешка от коллеги не выглядит как угроза. И именно этим червь и пользуется.

Материалы