마이크로소프트는 새로운 암호화 트로이목마 위협을 발표했습니다. 이 위협은 Tor 네트워크를 통해 은밀하게 확산되어 지갑 주소를 탈취할 수 있습니다.

Odaily Planet Daily에 따르면, 마이크로소프트의 위협 인텔리전스 팀은 2026년 2월부터 활동 중인 윈도우 암호화 트로이목마 위협을 공식 발표했습니다. 이 악성코드는 "웜처럼 확산되는 방식 + 클립보드 탈취 + Tor 익명 통신"을 결합하여 디지털 자산 사용자를 공격합니다. 마이크로소프트의 분석에 따르면, 이 악성코드는 위장된 바로가기(.lnk) 파일을 통해 이동식 저장 장치 간에 확산되며, WScript와 ActiveX를 사용하여 스크립트 로직을 실행합니다. 또한 로컬 Tor 클라이언트를 자동으로 배포하고 127.0.0.1:9050의 프록시를 통해 연결합니다. Onion은 C2 서버를 숨겨 익명 제어 및 데이터 백홀을 가능하게 합니다. 공격 체인에는 여러 가지 악성 기능이 포함되어 있습니다. 클립보드 내용을 지속적으로 모니터링하고, 니모닉 구문과 개인 키를 탈취하고, 스크린샷을 업로드하며, 사용자가 암호화폐 주소를 복사할 때 대상 주소를 공격자가 제어하는 지갑 주소로 바꿔치기하여 자금을 탈취합니다. 또한, 이 트로이목마는 웜처럼 확산되는 기능을 가지고 있어 USB 드라이브와 같은 장치에 자동으로 복제되고 지속적인 실행을 위한 예약 작업을 생성합니다. 기본적인 분석 회피 기능(디버깅을 피하기 위해 작업 관리자를 감지하는 등)도 갖추고 있습니다. 마이크로소프트는 이 트로이목마를 Trojan:Win32/CryptoBandits 계열로 분류하고 있으며, 비정상적인 WScript 호출, localhost:9050에서의 프록시 트래픽, PowerShell 스크린샷 동작과 같은 행동 특성을 기반으로 차단하고 있습니다. 보안 연구원들은 스크립트 실행 경로를 보호하고 비정상적인 로컬 프록시 트래픽을 모니터링하는 데 집중할 것을 권장합니다.