Windows Clipper Malware: USB-LNK-Wurm und Tor-C2

Microsoft warnt vor einer Windows-Clipper-Malware, die sich per USB-LNK-Wurm verbreitet und Tor-basierte C2-Server nutzt. Seit Februar 2026 aktiv – schü…

Was ist die Windows Clipper Malware?

Microsoft hat Einzelheiten zu einer Windows-basierten Kryptowährungs-Clipper-Kampagne veröffentlicht, die seit Februar 2026 gezielt Nutzer angreift. Die Malware ersetzt kopierte Wallet-Adressen in der Zwischenablage durch die der Angreifer – ein klassischer Clipper, aber mit einer gefährlichen Verbreitungsmethode. Sie nutzt USB-Laufwerke, die als Wurm über LNK-Dateien infiziert werden. Sobald ein Opfer den USB-Stick einsteckt, führt die automatische Wiedergabe die Malware aus.

Wie funktioniert der USB-LNK-Wurm?

Der Wurm kopiert sich über manipulierte LNK-Verknüpfungen auf USB-Geräte. Diese Verknüpfungen starten Windows Script Host und ActiveX-gesteuerte Logiken. Microsofts Defender-Forschungsteam erklärte: „Der Clipper in dieser Kampagne stützt sich auf Windows Script Host und ActiveX-gesteuerte Logik, um einen gebündelten Tor-Proxy zu starten und einen versteckten C2-Server abzufragen.“ Das bedeutet: Die Malware nutzt Tor, um ihre Kommunikation zu verschleiern. Sie ist schwer zu blockieren, weil sie den gesamten Datenverkehr über das Tor-Netzwerk leitet.

Warum Tor-basierte C2-Server?

Tor macht es für Sicherheitsforscher extrem schwierig, die Kommando- und Kontrollserver aufzuspüren. Die Malware startet einen eigenen Tor-Client – das ist ungewöhnlich für Clipper. Normalerweise greifen solche Schädlinge auf einfache HTTP-Server zurück. Hier aber setzen die Angreifer auf maximale Verschleierung. Für den normalen Nutzer ist das besonders tückisch, weil die Malware im Hintergrund agiert, ohne dass Sie etwas davon merken.

Sie denken vielleicht: „Ich nutze ja keine USB-Sticks mehr.“ Aber genau das ist eine gefährliche Annahme. Viele Unternehmen, Banken oder Behörden setzen immer noch auf USB-Geräte für Datenübergaben. Und selbst private Nutzer stecken ab und zu einen Stick ein – etwa vom Kollegen oder aus der Konferenz. Die Malware verbreitet sich gezielt über solche Wege.

So schützen Sie sich vor dem Clipper

Microsoft empfiehlt, die automatische Wiedergabe von USB-Geräten zu deaktivieren. Außerdem sollten Sie Windows Script Host blockieren, wenn Sie ihn nicht benötigen. Aktivieren Sie den Echtzeitschutz von Microsoft Defender und halten Sie Ihr System auf dem neuesten Stand. Für Kryptowährungs-Nutzer: Überprüfen Sie jede Adresse vor dem Absenden manuell – verlassen Sie sich nicht auf die Zwischenablage.

Fazit: Eine gefährliche Entwicklung

Die Kombination aus USB-LNK-Wurm und Tor-basiertem C2 macht diesen Clipper zu einer ernstzunehmenden Bedrohung. Die Täter haben viel Aufwand betrieben, um ihre Spuren zu verwischen. Die Daten zeigen: Seit Februar 2026 werden täglich neue Varianten ausgerollt. Microsoft arbeitet daran, aber Sie müssen selbst wachsam sein. Mehr zu Malware-Bedrohungen und Kryptowährungs-Sicherheit.