# Ваша флешка — теперь охотник за seed-фразами. Microsoft нашла червя, который ездит на USB и прячется в Tor - Site: VeraPoint News - Section: Новости - Date: 2026-06-24 - Canonical: https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency/ - Markdown: https://verapointmedia.com/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency.md - Summary: Crypto Clipper распространяется сам, маскируется под ваши файлы и ждёт, когда вы скопируете пароль от криптокошелька. И это работает без интернета через прокси-сервер. - Tags: #вредоносноепо #криптовалюта #microsoft #tor #usb-накопитель #кибербезопасность - Image: https://verapointmedia.com/static/content-assets/news/microsoft-discovers-new-lightweight-backdoor-that-steals-cryptocurrency/cover.webp ## Sources - https://arstechnica.com/security/2026/06/microsoft-spots-new-self-propagating-malware-for-stealing-cryptocurrency/ - https://news.google.com/rss/articles/CBMitAFBVV95cUxNLWo3dnIta1VubUs5SWVmaHd4a0VmS2xFVUJxVWJLejJ0Zng0ODRpdUJqclVnY1F2ekpXNnBfc05VRHRUbFBCa1hyYmt2Wi1lWlNmWlpRdkZrNzg3MWpZSGRNRmxrbDhwRzU5eG5sMC1zcGhYMElvRV9BVkxzWDZ5MXdnSXFlYkNZZG5ldDA0TWl0eXBlVjlhRllUcHRqUno5Z2x6R3pVS2M0cEdaT09MNDloY0M?oc=5 - https://news.google.com/rss/articles/CBMitgFBVV95cUxOT2F6NlM5VHFLY2lWc3JxbWwzbV8zYUg4RUswY2xaS1ZGbUdJMEJvSFJrazJ6bUNwYjF0NGlUUWhVeWZOQkN2NUV0cFF3U05jb3F1UTZCX3JvYl9reTFmWXgyVGdVZG9QcWRHZ251ckY0aWFxRURXbzE1MXNybnZPOGxXcTU4ZC0tdi13dk5nNnBnaEloQlNvUGE0Rm1BdHZaTnh4VC0yQzZUOHlMSDkwNzM3dTR2dw?oc=5 - https://news.google.com/rss/articles/CBMixgFBVV95cUxNS0dBOHlqLW93XzJDSFlnNHlpVWxoWjE3bGFBUm9feGpLWWs4a1hPMDMyTEFhUjRBeTZKVHM0dnFXUWgySFB4ZmduUzJ6WFlMdHFBZXdiYVFJU1NhZGppVXVRVDh1S1RJMkJNYU96Z2hteU1hR0NkLVEtRjJVbEpsU2VtMmVZMHQweHYybHU3VVZ2V0JocUVmSFdBSm13R1JCN0dQb1BHNC1VU1NZaExtZjdyeVBHeklWdHdhX3B0VXkyeWRfWHc?oc=5 --- Получается странный парадокс: мы привыкли, что главная угроза для криптосбережений — это фишинговая ссылка в письме или дыра в смарт-контракте. Мы учимся не кликать на подозрительное и проверять адреса сайтов. А теперь представьте, что к вам в руки попала чужая флешка. Вы вставляете её в компьютер, чтобы посмотреть, что там. Возможно, даже не открываете файлы. И в этот момент программа, которую Microsoft назвала Crypto Clipper, начинает тихо ждать, пока вы скопируете seed-фразу от своего биткоин-кошелька. Безопасность перевернулась: угроза приходит не через интернет, а физически, но ворует цифровое. И Microsoft официально подтвердила, что это работает прямо сейчас. ## Червь, который не спрашивает разрешения В июне 2026 года исследователи Microsoft опубликовали отчёт о новом самораспространяющемся вредоносном ПО. Его назвали Crypto Clipper, и он устроен хитрее, чем можно предположить по названию. Clipper — это тип вредоносной программы, которая следит за буфером обмена. Вы копируете адрес кошелька, чтобы перевести кому-то деньги, а вредонос незаметно подменяет его на адрес злоумышленника. Перевод уходит не туда. Но Crypto Clipper не просто подменяет адреса — он ещё и сам распространяется через USB-накопители. Механика такая: на заражённой флешке лежит файл с расширением .lnk (это ярлык, который может запускать код). Когда вы вставляете такую флешку в компьютер, код проверяет — установлен ли уже червь на этой машине. Если нет, он скачивает себя через сеть Tor и закрепляется в системе. Tor здесь — не просто способ скрыть следы. Это ключевой элемент всей схемы: червь разворачивает на вашем компьютере портативный Tor-клиент и пропускает через него весь свой трафик. Никакого прямого соединения с сервером злоумышленника, никакого IP-адреса в логах. ## Почему это не очередной AI-шум Обычно когда говорят «новое вредоносное ПО», подразумевают очередную вариацию уже известной схемы. Тут случай другой — и Microsoft сама подчеркнула, что это не рядовой стилер. Во-первых, Crypto Clipper не зависит от традиционной командно-контрольной инфраструктуры. Большинство вредоносов стучатся на сервер злоумышленника напрямую — и этот сервер можно вычислить, заблокировать, отследить. Здесь же связь идёт через Tor и SOCKS5-прокси (это протокол, который пропускает трафик через промежуточный сервер, скрывая источник). Во-вторых, червь не просто крадёт данные, а умеет выполнять команды удалённо. Microsoft прямо называет это «лёгким бэкдором» — то есть злоумышленник получает не только разовый доступ к паролям, но и постоянный контроль над заражённой машиной. Это превращает криптостилер в нечто большее: инструмент для долгосрочного присутствия в системе. ## Что именно он ищет в вашем буфере обмена Crypto Clipper охотится не за любыми данными. Его цель — seed-фразы. Если вы не в криптомире: seed-фраза (или мнемоническая фраза) — это набор из 12 или 24 английских слов, который является ключом ко всем вашим криптокошелькам. Тот, кто знает эти слова, может восстановить кошелёк на своём компьютере и вывести все средства. Это буквально главный пароль вашей криптожизни. Вредонос отслеживает буфер обмена на предмет последовательностей, похожих на стандартные seed-фразы. И когда находит — делает пять скриншотов экрана за десять секунд. Зачем скриншоты? Microsoft предполагает, что для контекста. Возможно, злоумышленник хочет понять, из какого приложения была скопирована фраза, какой кошелёк используется, чтобы точнее сработать. В любом случае — это дополнительный уровень компрометации: одно дело украсть пароль, другое — видеть экран жертвы. ## Кому это важно: от криптоэнтузиаста до сисадмина На первый взгляд кажется: «ну, я не держу крипту на рабочем компе, меня это не касается». Но сценарий заражения здесь — не «скачал подозрительный файл», а «вставил чужую флешку». Это может быть флешка, найденная в коворкинге. Или подаренная на конференции. Или случайно забытая коллегой. А может, вы сами одолжили кому-то накопитель, и он вернулся уже с довеском. ИТ-администраторам стоит прислушаться особенно: если в компании используют USB-накопители для переноса данных между машинами, один заражённый диск может превратиться в точку распространения по всей сети. Червь специально маскируется под легитимные файлы — он сканирует содержимое флешки и называет свои вредоносные ярлыки похожими именами. Пользователи криптокошельков теряют деньги. Компании теряют контроль над устройствами. И всё это запускается простым подключением USB. ## Где здесь PR, а где реальность Конечно, Microsoft не просто так публикует отчёт о новом вредоносном ПО. Часть задачи — напомнить, что их решения безопасности (Microsoft Defender и другие) умеют обнаруживать подобные угрозы. И да, в отчёте упоминается, что Defender детектирует Crypto Clipper. Но это не отменяет реальной проблемы. Сам по себе вектор атаки — через USB — существует давно, и в этом смысле ничего сверхъестественного не произошло. Однако комбинация самораспространения, скрытой связи через Tor и нацеленности именно на криптоданные — это действительно новый уровень. Ограничения тут такие: мы не знаем, насколько широко этот червь уже распространился «в дикой природе». Microsoft зафиксировала его, но не раскрыла масштабов. Возможно, это пока единичные случаи. А возможно — начало волны. И ещё один нюанс: Windows по умолчанию давно отключила автозапуск для USB-накопителей. Но .lnk-файлы работают немного иначе — они могут запускаться, когда пользователь открывает папку с флешкой и видит «знакомый» ярлык. ## Что делать прямо сейчас Правила защиты здесь не выглядят как rocket science, но их редко соблюдают полностью. Вот что я бы положила в свой личный чек-лист после этого отчёта: — Отключите автозапуск для всех сменных носителей. В Windows это делается через «Параметры автозапуска» в панели управления. Да, даже если кажется, что он и так отключён — проверьте. — Никогда не вставляйте незнакомую флешку в компьютер, на котором у вас открыты криптокошельки или хранятся seed-фразы. — Не держите seed-фразы в буфере обмена. Вообще никогда не копируйте их — это правило должно быть выжжено в подкорке. — Используйте аппаратные кошельки (hardware wallets) для значительных сумм. Они изолируют приватные ключи от компьютера, и даже если машина заражена, ключ не утекает. — Если вы ИТ-администратор, рассмотрите политику запрета USB-накопителей на критичных машинах или как минимум — автоматическое сканирование всех подключаемых устройств. — И да, антивирус с актуальными базами. В данном случае Microsoft Defender уже умеет детектировать Crypto Clipper. На самом деле самое сложное здесь — не техническое, а поведенческое. Флешка от коллеги не выглядит как угроза. И именно этим червь и пользуется. ## Материалы - [Ars Technica] Microsoft discovers new lightweight backdoor that steals cryptocurrency: https://arstechnica.com/security/2026/06/microsoft-spots-new-self-propagating-malware-for-stealing-cryptocurrency/ - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMitAFBVV95cUxNLWo3dnIta1VubUs5SWVmaHd4a0VmS2xFVUJxVWJLejJ0Zng0ODRpdUJqclVnY1F2ekpXNnBfc05VRHRUbFBCa1hyYmt2Wi1lWlNmWlpRdkZrNzg3MWpZSGRNRmxrbDhwRzU5eG5sMC1zcGhYMElvRV9BVkxzWDZ5MXdnSXFlYkNZZG5ldDA0TWl0eXBlVjlhRllUcHRqUno5Z2x6R3pVS2M0cEdaT09MNDloY0M?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMitgFBVV95cUxOT2F6NlM5VHFLY2lWc3JxbWwzbV8zYUg4RUswY2xaS1ZGbUdJMEJvSFJrazJ6bUNwYjF0NGlUUWhVeWZOQkN2NUV0cFF3U05jb3F1UTZCX3JvYl9reTFmWXgyVGdVZG9QcWRHZ251ckY0aWFxRURXbzE1MXNybnZPOGxXcTU4ZC0tdi13dk5nNnBnaEloQlNvUGE0Rm1BdHZaTnh4VC0yQzZUOHlMSDkwNzM3dTR2dw?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMixgFBVV95cUxNS0dBOHlqLW93XzJDSFlnNHlpVWxoWjE3bGFBUm9feGpLWWs4a1hPMDMyTEFhUjRBeTZKVHM0dnFXUWgySFB4ZmduUzJ6WFlMdHFBZXdiYVFJU1NhZGppVXVRVDh1S1RJMkJNYU96Z2hteU1hR0NkLVEtRjJVbEpsU2VtMmVZMHQweHYybHU3VVZ2V0JocUVmSFdBSm13R1JCN0dQb1BHNC1VU1NZaExtZjdyeVBHeklWdHdhX3B0VXkyeWRfWHc?oc=5