Windows-Clipper-Malware: USB-LNK-Wurm kapert Krypto-Transaktionen über Tor-C2
Microsoft, The Hacker News und BleepingComputer über Windows-Clipper-Kampagne per USB-LNK-Wurm mit Tor-C2-Infrastruktur. Für Admins: search-ms-Sperre, AutoPlay, ASR.
Microsoft hat Details zu einer aktiven Windows-Clipper-Kampagne veröffentlicht, die sich über USB-LNK-Dateien verbreitet und Tor-basierte Command-and-Control-Infrastruktur nutzt. Die Kampagne wurde vom Microsoft Threat Intelligence Center (MSTIC) identifiziert und wird von The Hacker News, BleepingComputer und heise online bestätigt. Für Admins ist die Meldung relevant, weil sie gleich mehrere klassische Schwachstellen im Endpoint-Schutz zusammenführt: unzureichend gehärtete USB-Autoplay-Funktionen, vertraünswürdige Windows-Protokolle als Angriffsvektor und fehlende Sichtbarkeit auf Tor-Netzwerkverkehr.
Meldung und Einordnung
Die Clipper-Malware ist keine neue Gattung - sie existiert seit etwa 2020 in verschiedenen Formen. Neu ist die Kombination aus USB-LNK-Wurm-Mechanismus und Tor-basierter C2-Infrastruktur. Der Angriff zielt auf Finanztransaktionen mit Kryptowährungen ab: Sobald ein Nutzer eine Wallet-Adresse kopiert, ersetzt die Malware diese im Zwischenspeicher durch eine vom Angreifer kontrollierte Adresse. Das Opfer sendet die Zahlung unwissentlich an den Angreifer.
Besonders tückisch ist der Infektionsweg. Die Malware enthält kein ausführbares Binary auf dem USB-Stick. Stattdessen nutzt sie eine manipulierte LNK-Datei, die das Windows-spezifische search-ms:-Protokoll ausnutzt. Dieses Protokoll ist standardmässig aktiviert und erlaubt das Abrufen von Inhalten über Netzwerkfreigaben - auch über Tor-Verbindungen zu Hidden Services. Die LNK-Datei verweist auf eine schadhafte HTML-Anwendung (HTA) auf einem .onion-Server, die über mshta.exe ausgeführt wird.
Technische Details für Admins
Der vollständige Angriffsablauf umfasst mehrere Schritte:
| Phase | Technischer Ablauf | Betroffene Komponente |
|---|---|---|
| 1. Verbreitung | USB-Stick mit manipulierter LNK-Datei (Tarnung als Rechnung) | AutoPlay-Standardkonfiguration |
| 2. Auslösung | LNK ruft search-ms-URI auf .onion-Hidden-Service auf | Windows Search search-ms-Protokoll |
| 3. Payload-Ladung | mshta.exe führt HTA-Datei vom Tor-Server aus | LOLBin mshta.exe, Tor-Netzwerk |
| 4. Installation | Clipper-Trojan persistiert als Scheduled Task "WindowsClipboardSync" | Task Scheduler, Registry Run Keys |
| 5. Clipboard-Override | Regex-Erkennung von Bitcoin, Ethereum, Monero-Adressen | Clipboard-API, user32.dll |
| 6. C2-Kommunikation | Updates der Ersatz-Adressen über Tor Hidden Service V3 | Tor SOCKS5-Proxy |
Risiko für KMU und Betrieb
KMU sind besonders gefährdet, weil USB-Sticks in kleinen Unternehmen oft unkontrolliert wandern. Wer auf einer Messe einen USB-Stick geschenkt bekommt oder Kunden-Dokumente auf USB erhält, wird ohne böse Absicht zum Eintrittspunkt. Viele KMU nutzen AutoPlay in der Standardkonfiguration.
Für Unternehmen mit Kryptowährungszahlungen im E-Commerce oder bei internationalen Dienstleistungen besteht zusätzlich ein finanzielles Risiko. Ein einzelner manipulierter Zahlungsvorgang kann erheblichen Schaden verursachen.
Was Admins jetzt prüfen sollten
- search-ms-Protokoll sperren: In GPO: Windows-Komponente > Windows Search > "Auf Netzwerkfreigaben zugreifen" auf "Deaktiviert" setzen
- AutoPlay deaktivieren: GPO: Windows-Komponente > AutoPlay-Richtlinien > "Automatische Wiedergabe" deaktivieren
- ASR-Regeln aktivieren: Attack Surface Reduction "Blockieren ausgehender Prozesse von USB-Wechseldatenträgern" im Block-Modus
- LOLBin-Einschränkung: AppLocker/WDAC: mshta.exe, rundll32.exe, powershell.exe nur von autorisierten Pfaden
- Tor-Verkehr erkennen: Defender for Endpoint auf Tor-Verbindungen konfigurieren, SOCKS5 blockieren
- Defender-Signale prüfen: Aktuelle Signaturen erkennen LNK-Dateien mit search-ms-URIs
- Clipping-Schutz: Clipboard-Zugriffe protokollieren, ungewöhnliche Zugriffe blockieren
Betriebscheck nach der Meldung
- USB-Richtlinie existiert und wird regelmässig geschult?
- AutoPlay ist in GPO deployed, nicht nur lokal konfiguriert?
- Defender ASR-Regeln im Block-Modus, nicht nur Audit-Modus?
- AppLocker/WDAC auf neue LOLBin-Varianten geprüft?
- Tor-Netzwerk-Verkehr wird segmentiert oder blockiert?
- Incident-Response-Plan deckt USB-basierte Infektionen ab?
Admin-Einschätzung
Die Kampagne ist technisch raffiniert, aber nicht neuartig. Gefährlich ist die Kombination aus alltäglichen Betriebsfaktoren: USB-Sticks gehören zum Arbeitsalltag, search-ms ist selten in GPO gehärtet, Tor-Verkehr wird ignoriert.
Für KMU ohne Security-Team: AutoPlay deaktivieren und search-ms blockieren. Beides ist in GPO mit wenigen Klicks umsetzbar. Wer ASR-Regeln im Block-Modus aktiviert, hat soliden Schutz.
Lehre: Angreifer setzen auf Betriebsblindheit gegenüber normalen Windows-Features. search-ms, AutoPlay und mshta.exe sind keine Sicherheitslücken, sondern nie hinterfragte Funktionen.
Passende Anleitungen auf S-EDV
- Windows-Installationsmedium erstellen - USB-Sticks als Infektionsvektor
