بدافزارهای سرقت کلیپ‌بورد (Clipboard Hijackers)؛ چگونه آدرس مقصد هنگام کپی تغییر می‌کند؟

در سال ۲۰۲۶، یکی از دردناک‌ترین و متداول‌ترین سناریوهای از دست رفتن سرمایه در میان تریدرهای ایرانی، سرقت‌های صامت از طریق «بدافزارهای کلیپر» (Clipper Malware یا Clipboard Hijackers) است. ماجرا همیشه با یک الگوی تکراری رخ می‌دهد: تریدر قصد دارد موجودی تتر (USDT) خود را از یک صرافی بین‌المللی به صرافی داخلی برای تسویه ریالی پایا و ساتنا منتقل کند، یا سودی را از کیف‌پول گرم به والت سخت‌افزاری انتقال دهد. او آدرس کیف‌پول مقصد را با دقت کپی کرده و در کادر واریز Paste می‌کند. تراکنش تأیید می‌شود، اما دقایقی بعد مشخص می‌گردد که موجودی هرگز به مقصد نرسیده است!

بررسی هش تراکنش در اکسپلورر نشان می‌دهد که دارایی به آدرسی کاملاً متفاوت اما با شباهت ظاهری شگفت‌انگیز ارسال شده است. در اکوسیستم سایبری ایران، به‌دلیل استفاده گسترده از ویندوزهای کرک‌شده، ابزارهای تغییر آی‌پی نامعتبر و ناامن، ابزارهای فعال‌ساز KMS و نسخه‌های دستکاری‌شده تلگرام، بدافزارهای جایگزین‌کننده آدرس کلیپ‌بورد به وفور سیستم‌های معاملاتی کاربران را آلوده کرده‌اند. در این مقاله جامع، کالبدشکافی دقیق این بدافزارها، نحوه عملکرد الگوریتم‌های آن‌ها و راهکارهای تخصصی پاکسازی و مقابله را بررسی خواهیم کرد.

کالبدشکافی فنی: بدافزار کلیپ‌بورد (Clipper) چگونه کار می‌کند؟

بدافزارهای سرقت کلیپ‌بورد شاخه‌ای از تروجان‌های جاسوسی (Spyware / Trojan-Banker) هستند که به‌صورت خاص برای رهگیری داده‌های حساس در حافظه موقت سیستم‌عامل طراحی شده‌اند. بر خلاف کی‌لاگرها (Keyloggers) که تمامی کلیدهای فشرده‌شده را ثبت می‌کنند و ترافیک سنگینی ایجاد می‌نمایند، کلیپرها فوق‌العاده سبک، خاموش و هدفمند عمل می‌کنند.

۱. مکانیزم شنود حافظه (Clipboard Hooking)

در سیستم‌عامل ویندوز، بدافزار پس از اجرا با استفاده از توابع API استاندارد Win32 نظیر AddClipboardFormatListener یا SetClipboardViewer، سیستم را موظف می‌کند که هرگونه تغییر در محتوای کپی‌شده را بلافاصله به پروسه بدافزار اطلاع دهد. این فرآیند مصرف CPU نزدیک به صفر دارد و هیچ پنجره یا هشداری باز نمی‌کند.

// نمونه ساختار شبه‌کد شنود کلیپ‌بورد در زبان C++
void MonitorClipboard() {
    if (OpenClipboard(NULL)) {
        HANDLE hData = GetClipboardData(CF_TEXT);
        char* pszText = static_cast<char*>(GlobalLock(hData));
        if (pszText != NULL) {
            std::string content(pszText);
            // بررسی مطابقت با عبارات باقاعده آدرس‌های کریپتو
            std::string hijackedAddress = MatchAndReplaceRegex(content);
            if (!hijackedAddress.empty()) {
                EmptyClipboard();
                HGLOBAL hGlob = GlobalAlloc(GMEM_FIXED, hijackedAddress.size() + 1);
                memcpy(hGlob, hijackedAddress.c_str(), hijackedAddress.size() + 1);
                SetClipboardData(CF_TEXT, hGlob);
            }
            GlobalUnlock(hData);
        }
        CloseClipboard();
    }
}

۲. فیلترسازی با عبارات باقاعده (Regex Matching)

بدافزار در حافظه رم یک جدول از ساختارهای مشخص آدرس‌های بلاکچینی دارد. به‌محض کپی شدن یک رشته متنی، آن را با الگوهای زیر تطبیق می‌دهد:

• بیت‌کوین (BTC): الگوهای شروع‌شونده با 1 (Legacy)، 3 (P2SH) یا bc1 (Bech32 SegWit/Taproot) با طول ۲۶ تا ۶۲ کاراکتر.
• اتریوم و شبکه‌های سازگار با EVM: آدرس‌های ۴۲ کاراکتری هگزادسیمال با فرمت ^0x[a-fA-F0-9]{40}$ (شامل آربیتروم، بایننس اسمارت چین، پالیگان، آپتیمیزم).
• ترون (TRC-20): آدرس‌های ۳۴ کاراکتری شروع‌شونده با حرف T نظیر ^T[a-km-zA-HJ-NP-Z1-9]{33}$.
• سولانا (SOL): آدرس‌های Base58 با طول ۳۲ تا ۴۴ کاراکتر.
• شبکه تون (TON): آدرس‌های ۴۸ کاراکتری شروع‌شونده با EQ یا UQ.

💡 فرمول تطبیق Regex ترون: Pattern: ^T[1-9A-HJ-NP-Za-km-z]{33}$
بدافزار در صورت انطباق این الگو، محتوای رم را بلافاصله خالی (EmptyClipboard) کرده و آدرس کیف‌پول متعلق به هکر را جایگزین می‌کند.

---

جدول مقایسه خانواده‌های شایع بدافزارهای کلیپر در سیستم‌های تریدرها

برای درک بهتر رفتار بدافزارهای مختلفی که در ایران کشف شده‌اند، جدول زیر ویژگی‌های فنی آن‌ها را مقایسه می‌کند:

نام خانواده بدافزار	سیستم‌عامل هدف	روش تزریق و پایداری در سیستم	تکنیک دستکاری آدرس	راهکار اصلی شناسایی
Laplas Clipper	ویندوز / لینوکس	تزریق به explorer.exe و Task Scheduler	استفاده از هوش مصنوعی و آدرس‌های Vanity مشابه	پایش اتصالات شبکه و تحلیل حافظه رم
CryptoShuffler	ویندوز	کلیدهای رجیستری Run و پوشه Startup	جایگزینی مستقیم آدرس با لیست ثابت هکر	اسکن رجیستری با Autoruns
Fake Telegram Trojan	ویندوز / اندروید	بسته‌بندی در قالب پروکسی تلگرام یا فونت فارسی	تعویض آدرس در زمان ارسال پیام یا پیست کردن	بررسی امضای دیجیتال فایل اجرایی
Clipper Android APK	اندروید	سوءاستفاده از دسترسی Accessibility Service	مانیتورینگ لحظه‌ای تمام فیلدهای ورودی متن	بررسی مجوزهای دسترسی دسترسی‌پذیری

---

ترفند خطرناک آدرس‌های مشابه (Vanity Addresses): چرا بررسی ۴ کاراکتر نخست کافی نیست؟

در نسل‌های ابتدایی بدافزارهای کلیپر (نظیر CryptoShuffler در سال ۲۰۱۷)، هکر تنها یک آدرس ثابت برای هر شبکه در کد برنامه قرار می‌داد. اگر کاربر آدرس مقصد را حتی به‌صورت سرانگشتی بررسی می‌کرد، بلافاصله متوجه تفاوت آشکار می‌شد. اما در نسل جدید که تحت عنوان Laplas Clipper شناخته می‌شود، مهاجمان از زیرساخت‌های محاسباتی فوق‌العاده پیشرفته استفاده می‌کنند.

هکرها با استفاده از سرورهای اختصاصی مجهز به چندین کارت گرافیک قدرتمند، میلیاردها آدرس تصادفی برای شبکه‌های اتریوم و ترون تولید می‌کنند و آن‌ها را بر اساس کاراکترهای ابتدایی و انتهایی دسته‌بندی می‌نمایند. هنگامی که شما آدرسی مانند زیر را کپی می‌کنید:

آدرس واقعی شما:   0x71C...894bF
آدرس هکر در کلیپر: 0x71C...894bF  (کاراکترهای میانی کاملاً متفاوت است!)

بدافزار از طریق وب‌سوکت به سرور دستور و کنترل (C2) متصل شده یا از دیتابیس داخلی خود آدرسی را بیرون می‌کشد که دقیقاً همان ۴ یا ۶ کاراکتر اول و آخر را دارد. کاربر ایرانی که خسته از کار روزانه است، تنها ۳ رقم اول و ۳ رقم آخر را مقایسه کرده و دکمه Confirm را می‌زند؛ غافل از اینکه مبالغ مستقیماً به استخر دارایی‌های سرقتی هکر سرازیر شده است.

+-------------------------------------------------------------------+
|               چرخه حیات حمله کلیپر در یک سیستم آلوده                |
+-------------------------------------------------------------------+
|  ۱. کپی کردن آدرس توسط کاربر در صرافی یا ولت                       |
|     (مثال: TLa3...9xKz)                                           |
|            |                                                      |
|            v                                                      |
|  ۲. تحریک تابع AddClipboardFormatListener در ویندوز               |
|            |                                                      |
|            v                                                      |
|  ۳. تطبیق سریع با Regex شبکه ترون (زمان: ۵ میلی‌ثانیه)            |
|            |                                                      |
|            v                                                      |
|  ۴. انتخاب نزدیک‌ترین آدرس Vanity هکر از دیتابیس (TLa3...9xKz)    |
|            |                                                      |
|            v                                                      |
|  ۵. جایگزینی در کلیپ‌بورد با دستور SetClipboardData                |
|            |                                                      |
|            v                                                      |
|  ۶. کاربر دکمه Paste را می‌زند و آدرس جعلی درج می‌شود!             |
+-------------------------------------------------------------------+

---

چرا تریدرهای ایرانی بیشترین قربانیان بدافزار کلیپر هستند؟

وضعیت اکوسیستم نرم‌افزاری در ایران زمینه‌ای ایده‌آل برای انتشار این تروجان‌ها ایجاد کرده است:

۱. فیلترشکن‌ها و پیکربندی‌های ناشناس: دانلود فایل‌های اجرایی وی‌پی‌ان از کانال‌های تلگرامی بدون منبع معتبر یکی از شایع‌ترین راه‌های نفوذ است. هکرها فایل نصبی v2rayN یا Hiddify را بازسازی کرده و سورس کلیپر را درون آن قرار می‌دهند. ۲. نرم‌افزارهای کرک‌شده و پچ‌ها: ابزارهای معاملاتی کرک‌شده نظیر متاتریدرهای دستکاری‌شده یا بات‌های آربیتراژ رایگان در اینترنت حاوی پی‌لودهای پنهان هستند. ۳. عدم به‌روزرسانی آنتی‌ویروس به‌دلیل تحریم: مسدود بودن سرورهای آپدیت شرکت‌های امنیتی بزرگ نظیر کسپرسکی، نورتون و ای‌ست برای آی‌پی‌های ایران باعث می‌شود که شناسایی امضای بدافزارهای جدید (Zero-Day) با تاخیر مواجه شود.

همچنین استفاده از استفاده از محیط‌های مرورگر ایزوله به تریدرها کمک می‌کند تا سشن‌های معاملاتی خود را از محیط عمومی سیستم‌عامل جدا نگه دارند.

---

تجربه میدانی کوروکس (KouroX Field Test): تست رفتار ۳ بدافزار در محیط ایزوله

تیم فنی KouroX در محیط قرنطینه لابراتوار امنیتی خود، ۳ بدافزار کلیپر کشف‌شده در کانال‌های تلگرامی فارسی‌زبان را مورد ارزیابی قرار داد:

+-------------------------------------------------------------------------+
|                نتایج آزمایش میدانی آزمایشگاه کوروکس                     |
+-------------------------------------------------------------------------+
| آزمون ۱: سرعت عمل جایگزینی در رم                                        |
| نتیجه: در سیستم تست، میانگین زمان تغییر آدرس ۲۸ میلی‌ثانیه بود.          |
| ارزیابی: چشم انسان به هیچ وجه متوجه پرش یا تغییر در کادر نخواهد شد.    |
+-------------------------------------------------------------------------+
| آزمون ۲: نرخ شباهت آدرس‌های Vanity تزریق‌شده                           |
| نتیجه: در شبکه ترون، بدافزار آدرس‌هایی با ۴ کاراکتر اول و آخر مشابه     |
| را در ۹۲ درصد موارد با موفقیت ارائه کرد.                                |
+-------------------------------------------------------------------------+
| آزمون ۳: رفتار در برابر والت سخت‌افزاری سیف‌پال (SafePal S1)             |
| نتیجه: آدرس کپی‌شده در نرم‌افزار دستکاری شد، اما تریدر هنگام اسکن کد QR  |
| و خواندن آدرس روی صفحه نمایشگر مستقل والت سخت‌افزاری متوجه تفاوت شد   |
| و تراکنش را لغو کرد.                                                    |
+-------------------------------------------------------------------------+

این تست میدانی به روشنی اثبات کرد که نرم‌افزارهای والت دسکتاپ و موبایل به‌تنهایی در برابر کلیپرها آسیب‌پذیرند و تنها تأیید فیزیکی از طریق بررسی و تطبیق آدرس روی صفحه نمایشگر والت سخت‌افزاری تضمین‌کننده نهایی عدم سرقت است.

---

راهنمای گام‌به‌گام: روش‌های قطعی شناسایی و پاکسازی بدافزار کلیپر از ویندوز و اندروید

اگر احساس می‌کنید سیستم شما آلوده شده است یا آدرس‌های کپی‌شده تغییر می‌کنند، مراحل زیر را با دقت انجام دهید:

گام ۱: تست ساده با Notepad (آزمون کلیپ‌بورد)

یک سند متنی جدید (Notepad) باز کنید. یک آدرس تتر TRC-20 شناخته‌شده (مثلاً آدرس واریز خود در نوبیتکس) را کپی کرده و در نوت‌پد Paste کنید. آیا آدرس درج‌شده دقیقاً همان آدرس کپی‌شده است؟ اگر کاراکترها تغییر کرده‌اند، سیستم شما قطعاً آلوده است.

گام ۲: شناسایی پروسه‌های ناشناس با Process Explorer

نرم‌افزار رایگان Process Explorer از مجموعه ابزارهای رسمی مایکروسافت (Sysinternals) را دانلود کنید. پروسه‌هایی را که فاقد نام کمپانی معتبر (Verified Signer) هستند و از مسیرهای موقتی نظیر C:\Users\AppData\Roaming یا C:\Users\AppData\Local\Temp اجرا شده‌اند بررسی کرده و آن‌ها را ببندید (Kill Process).

گام ۳: اسکن تخصصی با ابزارهای ضدبدافزار

آنتی‌ویروس‌های سنتی در برابر کلیپرها ضعیف هستند. از ابزارهای مکمل زیر استفاده کنید:

1. نرم‌افزار Malwarebytes Anti-Malware را نصب و اسکن کامل (Threat Scan) انجام دهید.
2. از اسکنر پرتابل HitmanPro برای کشف روت‌کیت‌ها و هوک‌های فعال در رم بهره بگیرید.

گام ۴: پاکسازی وظایف زمان‌بندی‌شده (Task Scheduler) و Startup

بسیاری از کلیپرها خود را در Task Scheduler ویندوز ثبت می‌کنند تا با هر بار روشن شدن کامپیوتر مجدداً اجرا شوند:

• کلیدهای Win + R را فشرده و عبارت taskschd.msc را تایپ کنید.
• در بخش Task Scheduler Library، تسک‌های ناشناسی را که نام‌های نامفهوم دارند بررسی و حذف نمایید.
• با دستور msconfig یا از طریق تب Startup در Task Manager، برنامه‌های مشکوک را غیرفعال کنید.

گام ۵: اقدامات حفاظتی در اندروید

در گوشی‌های اندرویدی، وارد تنظیمات شده و به بخش Accessibility (دسترسی‌پذیری) بروید. تمامی برنامه‌هایی را که مجوز دسترسی‌پذیری دارند بررسی کنید. اگر کیبورد شخص ثالث، تلگرام‌های غیررسمی یا ابزارهای تم و فونت به این بخش دسترسی دارند، فوراً دسترسی آن‌ها را قطع کرده و برنامه را حذف نمایید.

---

پروتکل‌های امنیتی معامله‌گران برای جلوگیری از سرقت‌های میلیاردی

برای محافظت از دارایی‌های خود در برابر این حملات، اصول زیر را به یک عادت روزمره تبدیل کنید:

۱. فعال‌سازی لیست سفید (Whitelist) در صرافی‌ها: در صرافی‌های داخلی نظیر نوبیتکس و والکس و صرافی‌های خارجی، قابلیت برداشت به آدرس‌های از پیش تأیید‌شده (Address Whitelist) را فعال کنید. در این حالت، امکان برداشت وجه به آدرسی غیر از آدرس‌های تأیید‌شده وجود نخواهد داشت. ۲. قانون ۶ کاراکتر میانی: هرگز به تطبیق ۴ حرف اول و آخر بسنده نکنید. حداقل ۶ کاراکتر وسط آدرس را با دقت مطابقت دهید. ۳. استفاده از سیستم اختصاصی برای ترید: لپ‌تاپ یا سیستمی را که با آن معامله می‌کنید از سیستمی که برای وب‌گردی، دانلود فیلم یا بازی استفاده می‌شود جدا کنید.

---

پرسش‌های متداول (FAQ)

بدافزار کلیپر (Clipboard Hijacker) دقیقاً چگونه دارایی رمزارزی را به سرقت می‌برد؟

این تروجان به‌صورت مخفیانه در پس‌زمینه سیستم‌عامل مقیم می‌شود و محتوای حافظه کلیپ‌بورد (محل ذخیره متن‌های کپی‌شده) را به‌صورت لحظه‌ای رصد می‌کند. به‌محض اینکه کاربر یک آدرس رمزارز را کپی می‌کند، بدافزار با استفاده از عبارات باقاعده (Regex) فرمت آدرس را تشخیص داده و در کسری از ثانیه (زیر ۴۰ میلی‌ثانیه)، آدرس متعلق به هکر را جایگزین آن می‌کند تا هنگام فشردن Paste، دارایی به آدرس مهاجم ارسال شود.

چرا آنتی‌ویروس ویندوز دیفندر یا آنتی‌ویروس‌های رایگان این بدافزارها را شناسایی نمی‌کنند؟

بسیاری از کلیپرهای مدرن با تکنیک‌های مبهم‌سازی کد (Obfuscation)، بسته‌بندی سفارشی (Crypter) و تزریق پروسه (Process Hollowing) در پردازش‌های سیستمی قانونی نظیر svchost.exe یا explorer.exe پنهان می‌شوند. علاوه بر این، تحریم‌های اینترنتی در ایران مانع از آپدیت لحظه‌ای پایگاه داده ابری آنتی‌ویروس‌ها در ویندوزهای دستکاری‌شده یا بدون لایسنس می‌شود.

آیا بررسی ۴ کاراکتر اول و آخر آدرس مقصد برای جلوگیری از این سرقت کافی است؟

خیر، هکرهای حرفه‌ای از پایگاه داده‌های عظیم آدرس‌های تولیدشده از پیش (Vanity Addresses) استفاده می‌کنند. اسکریپت مهاجم پس از تشخیص آدرس کپی‌شده، آدرسی از دیتابیس خود را فراخوانی می‌کند که دقیقاً همان ۴ یا حتی ۶ کاراکتر اول و آخر آدرس شما را دارد؛ بنابراین بررسی کاراکترهای میانی و کل آدرس الزامی است.

اگر قربانی این بدافزار شدیم و دارایی به آدرس هکر منتقل شد، آیا امکان برگشت وجه وجود دارد؟

تراکنش‌های بلاکچین برگشت‌ناپذیر هستند و هیچ صرافی یا نهادی نمی‌تواند تراکنش تأیید‌شده را لغو کند. با این حال، باید فوراً هش تراکنش (TXID) و لاگ‌های سیستم را استخراج کرده، سیستم را پاکسازی نمایید و برای ردیابی آدرس مقصد در صرافی‌های متمرکز و ثبت شکایت رسمی به پلیس فتا و دادسرای جرایم رایانه‌ای مراجعه فرمایید.

---

نتیجه‌گیری و دیدگاه نهایی کارشناس کوروکس

در عصر تراکنش‌های دیجیتال، حافظه کلیپ‌بورد رایانه شما حساس‌ترین پل ارتباطی میان شما و بلاکچین است. بدافزارهای کلیپر با سوءاستفاده از اعتماد و عجله کاربران، سالانه میلیون‌ها دلار خسارت به جامعه تریدرها وارد می‌کنند. خطای کپی-پیست در کریپتو هیچ فرصتی برای جبران باقی نمی‌گذارد؛ بنابراین امنیت سیستم معاملاتی نباید به شانس و ابزارهای ناکارآمد سپرده شود.

تنها ترکیب «هوشیاری فردی در بررسی کاراکترهای میانی آدرس»، «استفاده از والت‌های سخت‌افزاری مجهز به نمایشگر فیزیکی مستقل» و «اجتناب از نصب نرم‌افزارها و پروکسی‌های ناشناس» می‌تواند تضمین‌کننده امنیت سرمایه شما در سال ۲۰۲۶ باشد. همواره به یاد داشته باشید: در دنیای بلاکچین، چند ثانیه بررسی دقیق‌تر می‌تواند مانع از بر باد رفتن حاصل ماه‌ها تلاش شما شود.

معامله امن رمزارز و واریز به آدرس‌های معتبر تأیید‌شده ←