マイクロソフト、新型暗号化トロイの木馬脅威を発表：Tor経由で隠密に拡散し、ウォレットアドレスを乗っ取る可能性

Odailyによると、Microsoftの脅威インテリジェンスチームが、2026年2月以降に活動し始めたWindows向け暗号資産トロイの木馬脅威を公式に発表しました。このマルウェアは「ワーム型拡散＋クリップボードハイジャック＋Tor匿名通信」を組み合わせ、デジタル資産ユーザーに対して攻撃を行います。

Microsoftの分析によれば、この悪意あるプログラムは偽装したショートカット（.lnk）ファイルを使い、リムーバブルストレージ間で拡散します。さらに、WScriptとActiveXを利用してスクリプトロジックを実行し、自動的にローカルのTorクライアントを展開、127.0.0.1:9050プロキシを経由して接続します。onionの隠れサービスC2サーバーを用いて匿名コントロールとデータ返送を実現。攻撃チェーンには複数の悪意ある機能が含まれています：クリップボード内容の監視継続、助記詞や秘密鍵の窃取、スクリーンショットのアップロード、さらにユーザーが暗号資産アドレスをコピーした際に「アドレス置換」を行い、ターゲットアドレスを攻撃者が管理するウォレットアドレスにすり替えて資金を奪います。

加えて、このトロイの木馬はワーム型拡散能力も備え、USBメモリなどのデバイスに自動的に自身をコピーし、タスクスケジューラを作成して永続的な実行を実現します。また、基本的な分析回避能力（タスクマネージャ検出によるデバッグ回避）も有しています。

検出の観点では、MicrosoftはこのマルウェアをTrojan:Win32/CryptoBanditsシリーズとして識別し、行動特性（WScriptの異常呼び出し、localhost:9050のプロキシトラフィック、PowerShellによるスクリーンショット動作など）によってブロックしています。セキュリティ研究者は、スクリプト実行経路やローカルプロキシの異常トラフィック監視を重点的に防御することを推奨しています。