Microsoft revela una nueva amenaza de troyano de portapapeles cifrado: puede propagarse de manera oculta y secuestrar direcciones de billeteras de activos digitales

Deep Tide TechFlow Noticias, 19 de junio, el equipo de inteligencia de amenazas de Microsoft publicó una amenaza de troyano de cifrado en el portapapeles de Windows activa desde febrero de 2026, que combina "propagación tipo gusano + secuestro del portapapeles + comunicación anónima Tor", dirigida a usuarios de activos digitales.

Microsoft analizó que este malware se propaga a través de archivos de acceso directo (. lnk) disfrazados en dispositivos de almacenamiento extraíbles, y utiliza WScript y ActiveX para ejecutar lógica de scripts, desplegando automáticamente un cliente Tor local para lograr control anónimo y transmisión de datos. La cadena de ataque incluye múltiples capacidades maliciosas: monitoreo continuo del contenido del portapapeles, robo de frases mnemónicas y claves privadas, captura de pantalla y carga, y en el momento en que el usuario copia una dirección de criptomoneda, realiza un "cambio de dirección", reemplazando la dirección objetivo por una dirección de cartera controlada por el atacante, logrando así el secuestro de fondos.

Además, este troyano también tiene capacidad de propagación tipo gusano, pudiendo copiarse automáticamente en dispositivos como unidades USB, y crear tareas programadas para mantener la persistencia, además de contar con capacidades básicas de anti-análisis (detectando el Administrador de tareas para evitar depuración).

En cuanto a detección, Microsoft lo ha identificado como la serie Trojan:Win32/CryptoBandits, y lo intercepta mediante características de comportamiento (como llamadas anómalas a WScript, tráfico proxy localhost:9050 y comportamiento de captura de pantalla con PowerShell). Los investigadores de seguridad recomiendan enfocar la protección en las rutas de ejecución de scripts y en la monitorización de tráfico proxy local anómalo.