Allarme Microsoft: virus che ruba crypto in circolazione dal 2026. Come opera e cosa fare

Il Threat Intelligence Team di Microsoft ha individuato un nuovo virus/trojan in grado di sottrarre criptovalute a chi gestisce in proprio wallet e trasferimenti. Il virus sarebbe in circolazione già dal febbraio 2026. Secondo quanto riporta Microsoft, la minaccia è stata aggiunta ai sistemi di sicurezza integrati in Windows, che ora sono in grado di individuarla e bloccarla.

Si tratterebbe di un clipper in grado di sottrarre informazioni dalla clipboard e anche di sostituire indirizzi di invio, facendo finire le criptovalute a indirizzi controllati dagli attaccanti.

Nessuna installazione necessaria

Nel report di Microsoft sulla vulnerabilità è segnalata un’importante particolarità.

L’esecuzione di questo clipper è notevole perché non dipende da un installer tradizionale o da un’infrastruttura C2 IP-based esposta. Impiega invece un client Tor portatile, gira il traffico attraverso un proxy locale SOCKS5 e combina il furto di dati con l’esecuzione di codice remoto.

L’attacco sarebbe composto di due parti: un worm in grado di replicarsi altrove e un clipper che è in grado di sottrarre chiavi private e informazioni relative ai wallet.

Il virus sarebbe in grado di individuare passphrase a 12 o 24 parole e di salvarle e di sottrarle. In aggiunta, sarebbe in grado di estrarre chiavi private, secondo quanto riportato da Microsoft, sia per Bitcoin che per Ethereum.

Sarebbe inoltre in grado di operare sostituendo gli indirizzi verso i quali il legittimo proprietario delle criptovalute cerca di inviare BTC, ETH o altri token compatibili con il secondo protocollo. Sarebbe inoltre in grado di farlo anche sui network Tron e Monero.

Cosa fare?

Ci sono diversi consigli per gestire la situazione.

• Disabilitare autorun e autoplay sui dispositivi rimovibili (penne USB, principalmente);
• Bloccare l’esecuzione di file .lnk;
• Limitare l’uso di script host come wscript.exe e cscript.exe;
• NControllare le attività relative alla clipboard e allo screen capture;
• Individuare la presenza di proxy SOCKS5

Per le restanti comunicazioni di sicurezza, non possiamo che invitarvi a fare riferimento al post ufficiale di Microsoft sulla vulnerabilità.

Invitiamo la nostra community a prestare attenzione a questa comunicazione di Microsoft e a prendere i necessari provvedimenti per mettere al sicuro i propri computer con sistema operativo Windows. Seguiranno aggiornamenti sul nostro Canale Telegram, dal quale puoi seguire non solo eventuali novità di mercato, ma anche quanto è necessario in termini di sicurezza.