Hoe steelt de CryptoBandits malware je cryptowallet via USB?

Wat Microsoft ontdekte over de CryptoBandits malware

Microsoft Threat Intelligence bracht het virus naar buiten in een blog van 17 juni. Defender Antivirus herkent de dreiging als Trojan:Win32/CryptoBandits.A. Het team volgt de campagne al sinds februari 2026, en waarschuwt nu dat de aanvallers wereldwijd computers besmetten. Het doelwit is helder. Ze mikken op bezitters van Bitcoin en andere munten.

In een bericht op X vatte Microsoft de aanval kort samen. De malware combineert klemborddiefstal, adresverwisseling, wormgedrag en communicatie via Tor. Die mix maakt opsporing lastig.

Hoe het virus zich via USB-sticks verspreidt

De aanval start met kwaadaardige .lnk-bestanden, oftewel snelkoppelingen. Ze komen vaak binnen via een USB-stick die iemand argeloos in zijn laptop steekt. Klik je erop, dan start een worm-component. Dat onderdeel kopieert zichzelf naar echte bestanden op je computer, waardoor de besmetting zich ongemerkt verder verspreidt. Microsoft noemt dit een clipper, malware die je klembord kaapt.

Het virus zet ook geplande taken klaar. Zo blijft het draaien na een herstart, wat de aanvaller een langer venster geeft om mee te kijken. De makers gebruiken kant-en-klare Windows-scripts in plaats van een groot installatiebestand. Daardoor glipt de code langs simpele virusscanners.

Waarom Tor de aanval onzichtbaar maakt

CryptoBandits draait een eigen Tor-client mee. Het verkeer loopt door een lokale proxy op poort 9050. De commando’s komen van verborgen .onion-adressen, het soort dat je in een normale browser nooit tegenkomt. Daardoor ziet je netwerk weinig verdachte DNS-verzoeken.

Het klembord wordt elke 500 milliseconden gecontroleerd. Het virus zoekt naar seed phrases, private keys en wallet-adressen. Vindt het een adres, dan ruilt het dat om. Vindt het een sleutel, dan reist die via Tor naar de aanvaller.

Van adresdief naar volwaardige achterdeur

De campagne blijft niet bij adressen omwisselen. De malware maakt schermafbeeldingen, meldt zich bij een verborgen server en draait via een EVAL-commando code van de aanvaller. Zo verandert een simpele adresdief in een lichte achterdeur.

Volgens Microsoft moeten verdedigers “letten op samenhangende gedragingen in plaats van losse gebeurtenissen”. Let op scripts die curl, cmd.exe of PowerShell starten. Zeker als daarbij verkeer naar poort 9050 hoort.

Wat dit betekent voor cryptobezitters in Nederland

Voor de gewone belegger telt vooral gedrag. Plak je een gekopieerd wallet-adres, controleer dan de eerste en laatste tekens. Beter nog, controleer het hele adres. Gebruik geen USB-sticks waarvan je de herkomst niet kent. Houd Windows en je virusscanner up-to-date, want verouderde software is de makkelijkste ingang voor dit virus. Bewaar grote bedragen op een hardware wallet, los van je dagelijkse computer.

Deze aanval staat niet op zichzelf. Eerder trof de TrapDoor malware ontwikkelaars via besmette pakketten. StilachiRAT las wallets in de browser uit en volgde het klembord. SparkCat doorzocht screenshots op herstelzinnen. Ook Binance waarschuwde eerder voor adresverwisseling. En het Humanity Protocol verloor onlangs geld door een gestolen private key.

De rode draad is duidelijk. Aanvallers mikken op het apparaat, niet op de blockchain zelf.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.