Вредоносные клипперы подменяют адреса криптокошельков в буфере обмена

AnimateClipper, также известный как ZigClipper, распространялся через поддельные установщики программ и схемы социальной инженерии ClickFix. Вредоносная программа подменяет адреса криптовалютных кошельков в буфере обмена, а её активность, как и активность Efimer, впоследствии снизилась. Обнаруженный в 2026 году CryptoBandit имеет общие с Efimer характеристики кода, что может указывать на связь между ними или на происхождение CryptoBandit как производной Efimer.

Программы-подменщики адресов криптовалют отслеживают буфер обмена и заменяют найденные там адреса на контролируемые злоумышленниками. Некоторые варианты подбирают адреса, похожие на исходные по начальным или конечным символам, чтобы подмену было труднее заметить. Криптовалютные транзакции, как правило, необратимы и децентрализованы, поэтому после отправки средств у жертв может быть мало возможностей их вернуть.

AnimateClipper впервые обнаружили в январе 2026 года. После установки он ищет в буфере обмена текст, соответствующий шаблонам криптовалютных адресов, определяет экосистему и подставляет адрес злоумышленника. Вредоносная программа может распространяться вместе с инфостилерами.

Efimer распознаёт определённые форматы кошельков и подбирает подменный адрес к исходному. Например, адрес Ethereum он определяет по префиксу 0x и заданной длине, а затем пытается сопоставить первые три цифры. Для других типов адресов программа может сопоставлять от одной до трёх начальных или конечных цифр. Efimer также способен передавать данные из буфера обмена и скриншоты, получать команды операторов и подключаться к инфраструктуре управления через Tor и домены .onion. Интервалы подключений рассчитаны на снижение сетевого трафика.

Efimer использует защиту PyArmor, шифрует полезные нагрузки с помощью XOR, обфусцирует JavaScript и проверяет наличие инструментов или сред анализа перед завершением работы. Сообщается, что образцы программы генерировались ежечасно. Среди способов её распространения были:

• фишинговые электронные письма;
• поддельные торрент-сайты;
• поддельное программное обеспечение;
• запросы ClickFix.

Среди общих характеристик CryptoBandit и Efimer исследователи отмечают совпадение цифр адресов, целевые кошельки, инфраструктуру управления, структуру файлов и функции противодействия анализу. Эта совокупность признаков указывает на возможную связь CryptoBandit с Efimer или на его производное происхождение.

Авторы отчёта советуют пользователям с осторожностью относиться к запросам запустить PowerShell для проверки личности и проверять адрес получателя перед отправкой криптовалютной транзакции.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.