マイクロソフトは6月17日、USBメモリを介して拡散し、暗号資産（仮想通貨）ウォレットの情報を盗み取るマルウェアを確認したと公表しました。検知名は「Trojan:Win32/CryptoBandits.A」で、2026年2月以降にWindows PCを狙った活動が確認されています。送金先アドレスのすり替えやシードフレーズの窃取を組み合わせた攻撃で、ウォレット利用者の資産移動そのものを狙う手口として警戒が必要です。

USBメモリ経由で広がる感染手口

今回確認されたのは、いわゆる「crypto clipper」と呼ばれるタイプのマルウェアです。ユーザーがコピーしたウォレットアドレスを監視し、貼り付けの直前に攻撃者のアドレスへ置き換えることで、送金先を気づかれないまますり替えます。

感染の起点は、悪意のある「.lnk」形式のショートカットファイルです。USBドライブ内に置かれたこのファイルをWindows上で開くと、背後で不正なスクリプトや実行ファイルが動き出し、端末内にマルウェアを展開します。

特徴的なのは、感染したPCに別のUSBメモリを挿すと、そのUSB側でも拡散が進む点です。通常の文書ファイルは隠され、見た目が似た同名のショートカットファイルに置き換えられます。利用者が普段どおりファイルを開いたつもりでも、実際には不正な処理を起動してしまう仕組みです。

ネット経由の攻撃であればメールや偽サイトへの警戒が中心になりますが、USB経由の拡散は社内端末やオフライン環境にも入り込みやすい性質があります。暗号資産の管理で外部記憶媒体を使う場面は少なくないため、感染経路が物理メディアに広がっている点は見過ごせません。

マイクロソフトは対策として、AutoRunの無効化、.lnkファイルの実行制限、Windows Script Hostの利用制限を挙げています。Windows利用者にとっては、見慣れたUSB内ファイルでもショートカット形式なら安易に開かないことが重要になります。暗号資産の送金時には、貼り付け後のアドレス全体を確認する運用が、最終的な被害防止の手段になります。

参考元：arstechnica