Jak útok funguje: Technika EtherHiding

Hlavní inovace – a důvod, proč je tato kampaň tak obtížně narušitelná – spočívá v technice EtherHiding. Místo spoléhání se na tradiční velitelské a řídicí servery (C2), které lze odstavit, ukládají útočníci škodlivé instrukce přímo do chytrých kontraktů na BNB Smart Chain . Protože pouze peněženka, která kontrakt nasadila, může měnit jeho obsah, je odstranění škodlivých instrukcí tradičními metodami (např. blokováním domén) prakticky nemožné . Tato kampaň překrývá s malware operací ClearFake, která dříve používala falešné výzvy k aktualizaci prohlížeče .

Řetězec infekce: Od kompromitovaného webu k malwaru

Útok se odehrává v relativně krátké sekvenci kroků, které zneužívají důvěru uživatele a vestavěné nástroje Windows:

1. Kompromitace webu – Útočníci napadnou legitimní weby (často WordPress) a vloží do nich JavaScript kódovaný v Base64 .
2. Dotaz na blockchain – Vložený skript se připojí k bráně BNB Smart Chain RPC a dotáže se konkrétního chytrého kontraktu, aby získal další škodlivé instrukce .
3. Falešné CAPTCHA – Prohlížeč dekóduje získané instrukce a zobrazí uživateli falešnou ověřovací stránku CAPTCHA .
4. Sociální inženýrství (ClickFix/TerminalFix) – Uživatel je naveden, aby stiskl Windows+R (otevření dialogu „Spustit"), popř. otevřel Terminál nebo PowerShell, vložil příkaz ze své schránky a spustil jej . To je klíčový trik sociálního inženýrství: dělá z oběti nevědomého účastníka infekce.
5. Spuštění malwaru – Vložený příkaz stáhne a spustí finální malware .

Zneužívané nástroje Windows (Living-off-the-Land)

Aby se útočníci vyhnuli detekci, hojně zneužívají legitimní, vestavěné součásti Windows – technika známá jako „living-off-the-land" (LOLBins) . Mezi nástroje pozorované v této kampani patří:

• conhost – Hostitel konzole pro provádění příkazů
• PowerShell – Spouštění skriptů a stahování payloadů
• cmd (Příkazový řádek) – Přímé provádění příkazů
• mshta – Spouštění škodlivých HTA souborů
• rundll32 – Načítání DLL knihoven z příkazové řádky
• curl – Stahování dalších stupňů payloadů
• WMI (Windows Management Instrumentation) – Pro laterální pohyb nebo perzistenci
• Dialog Spustit (Windows Run dialog) – Počáteční bod spuštění podle ClickFix návnady

Použitím těchto důvěryhodných komponent Microsoftu mohou útočníci obejít mnohé tradiční koncové bezpečnostní nástroje .

Doručované malware rodiny

Tato kampaň se neomezuje na jediný malware. Slouží jako doručovací mechanismus pro řadu trojských koní zaměřených na krádeže informací a vzdálený přístup :

• Lumma Stealer – Hlavní payload pozorovaný v mnoha případech . Sklízí hesla z prohlížečů, přihlašovací údaje k peněženkám kryptoměn, session cookies a další citlivá data.
• XWorm (Xworm) – Trojský kůň pro vzdálený přístup (RAT) schopný krádeže dat a stahování dalších payloadů.
• AsyncRAT – Open-source RAT používaný pro sledování, keylogging a krádež přihlašovacích údajů.
• MintsLoader – Downloader/loader, který do napadeného systému instaluje další malware.
• Nástroje pro vzdálenou správu – Potenciálně zneužívané legitimní nástroje (např. AnyDesk, software pro sdílení obrazovky) pro perzistenci a laterální pohyb.

Úspěšné provedení útoku může vést k odhalení přihlašovacích údajů, vytvoření trvalého přístupu, laterálnímu pohybu v rámci sítě a případnému nasazení ransomwaru . Na systémech macOS byla v rámci kampaně také pozorována doručování MacSync a Atomic Stealer .

Doporučená ochranná opatření od Microsoftu

Microsoft vydal několik praktických doporučení na ochranu před touto kampaní :

1. Zapněte vícevrstvou ochranu v Microsoft Defenderu – Ujistěte se, že jsou aktivní ochrana v reálném čase, cloudová ochrana a ochrana proti neoprávněné manipulaci (tamper protection).
2. Omezte nástroje příkazové řádky – Použijte AppLocker nebo Windows Defender Application Control (WDAC) k blokování nespolehlivého spouštění nástrojů jako PowerShell, mshta a rundll32.
3. Zapněte logování PowerShell skriptů – Aktivujte blokové logování a přepis skriptů pro detekci pokusů o obfuskované provádění příkazů.
4. Informovanost uživatelů (nejkritičtější krok) – Nikdy nevkládejte příkazy z neznámých nebo neověřených zdrojů do dialogu „Spustit", Terminálu nebo PowerShellu. Legitimní CAPTCHA nikdy nenavádí uživatele k provádění takových kroků.
5. Blokujte RPC koncové body chytrých kontraktů – Tam, kde je to možné, omezte odchozí přístup k veřejným bránám BNB Smart Chain RPC z koncových bodů, které nevyžadují přístup k blockchainu.
6. Používejte Microsoft Defender pro SmartScreen – Tento nástroj pomáhá blokovat škodlivé webové stránky již ve fázi počátečního přístupu, čímž zabrání tomu, aby se uživatel vůbec dostal na falešné CAPTCHA .

Detekce a pokrytí

Zatímco veřejné varování Microsoftu neposkytlo vyčerpávající seznam konkrétních detekčních názvů Microsoft Defender Antivirus pro tuto konkrétní kampaň , související bezpečnostní výzkum z července a srpna 2026 naznačuje, že Microsoft Defender for Endpoint poskytuje behaviorální pokrytí pro :

• Vzory provádění living-off-the-land
• Podezřelou aktivitu WebDAV a MSHTA
• Obfuskované provádění PowerShellu
• Perzistenci pomocí naplánovaných úloh
• Provádění payloadů v paměti
• Krádež přihlašovacích údajů z prohlížeče

Blog o macOS ClickFix zveřejněný společností Microsoft 5. srpna 2026 dokumentoval, že Microsoft Defender pro SmartScreen blokuje škodlivou webovou stránku a Defender XDR poskytuje plošné pokrytí v rámci specifických mapování taktik a technik . Detekce Microsoft Defender Antivirus pro širší rodinu hrozeb ClickFix zahrnují názvy jako Behavior:Win32/ClickFix, Trojan:Win32/ClickFix a Trojan:HTML/FakeCaptcha , ačkoli konkrétní signatury pro JavaScriptové injektáže související s BNB Chainem v této kampani byly nasazeny, ale nebyly ve veřejném varování jmenovány .

Jak útok funguje: Technika EtherHiding

Hlavní inovace – a důvod, proč je tato kampaň tak obtížně narušitelná – spočívá v technice EtherHiding. Místo spoléhání se na tradiční velitelské a řídicí servery (C2), které lze odstavit, ukládají útočníci škodlivé instrukce přímo do chytrých kontraktů na BNB Smart Chain . Protože pouze peněženka, která kontrakt nasadila, může měnit jeho obsah, je odstranění škodlivých instrukcí tradičními metodami (např. blokováním domén) prakticky nemožné . Tato kampaň překrývá s malware operací ClearFake, která dříve používala falešné výzvy k aktualizaci prohlížeče .

Řetězec infekce: Od kompromitovaného webu k malwaru

Útok se odehrává v relativně krátké sekvenci kroků, které zneužívají důvěru uživatele a vestavěné nástroje Windows:

1. Kompromitace webu – Útočníci napadnou legitimní weby (často WordPress) a vloží do nich JavaScript kódovaný v Base64 .
2. Dotaz na blockchain – Vložený skript se připojí k bráně BNB Smart Chain RPC a dotáže se konkrétního chytrého kontraktu, aby získal další škodlivé instrukce .
3. Falešné CAPTCHA – Prohlížeč dekóduje získané instrukce a zobrazí uživateli falešnou ověřovací stránku CAPTCHA .
4. Sociální inženýrství (ClickFix/TerminalFix) – Uživatel je naveden, aby stiskl Windows+R (otevření dialogu „Spustit"), popř. otevřel Terminál nebo PowerShell, vložil příkaz ze své schránky a spustil jej . To je klíčový trik sociálního inženýrství: dělá z oběti nevědomého účastníka infekce.
5. Spuštění malwaru – Vložený příkaz stáhne a spustí finální malware .

Zneužívané nástroje Windows (Living-off-the-Land)

Aby se útočníci vyhnuli detekci, hojně zneužívají legitimní, vestavěné součásti Windows – technika známá jako „living-off-the-land" (LOLBins) . Mezi nástroje pozorované v této kampani patří:

• conhost – Hostitel konzole pro provádění příkazů
• PowerShell – Spouštění skriptů a stahování payloadů
• cmd (Příkazový řádek) – Přímé provádění příkazů
• mshta – Spouštění škodlivých HTA souborů
• rundll32 – Načítání DLL knihoven z příkazové řádky
• curl – Stahování dalších stupňů payloadů
• WMI (Windows Management Instrumentation) – Pro laterální pohyb nebo perzistenci
• Dialog Spustit (Windows Run dialog) – Počáteční bod spuštění podle ClickFix návnady

Použitím těchto důvěryhodných komponent Microsoftu mohou útočníci obejít mnohé tradiční koncové bezpečnostní nástroje .

Doručované malware rodiny

Tato kampaň se neomezuje na jediný malware. Slouží jako doručovací mechanismus pro řadu trojských koní zaměřených na krádeže informací a vzdálený přístup :

• Lumma Stealer – Hlavní payload pozorovaný v mnoha případech . Sklízí hesla z prohlížečů, přihlašovací údaje k peněženkám kryptoměn, session cookies a další citlivá data.
• XWorm (Xworm) – Trojský kůň pro vzdálený přístup (RAT) schopný krádeže dat a stahování dalších payloadů.
• AsyncRAT – Open-source RAT používaný pro sledování, keylogging a krádež přihlašovacích údajů.
• MintsLoader – Downloader/loader, který do napadeného systému instaluje další malware.
• Nástroje pro vzdálenou správu – Potenciálně zneužívané legitimní nástroje (např. AnyDesk, software pro sdílení obrazovky) pro perzistenci a laterální pohyb.

Úspěšné provedení útoku může vést k odhalení přihlašovacích údajů, vytvoření trvalého přístupu, laterálnímu pohybu v rámci sítě a případnému nasazení ransomwaru . Na systémech macOS byla v rámci kampaně také pozorována doručování MacSync a Atomic Stealer .

Doporučená ochranná opatření od Microsoftu

Microsoft vydal několik praktických doporučení na ochranu před touto kampaní :

1. Zapněte vícevrstvou ochranu v Microsoft Defenderu – Ujistěte se, že jsou aktivní ochrana v reálném čase, cloudová ochrana a ochrana proti neoprávněné manipulaci (tamper protection).
2. Omezte nástroje příkazové řádky – Použijte AppLocker nebo Windows Defender Application Control (WDAC) k blokování nespolehlivého spouštění nástrojů jako PowerShell, mshta a rundll32.
3. Zapněte logování PowerShell skriptů – Aktivujte blokové logování a přepis skriptů pro detekci pokusů o obfuskované provádění příkazů.
4. Informovanost uživatelů (nejkritičtější krok) – Nikdy nevkládejte příkazy z neznámých nebo neověřených zdrojů do dialogu „Spustit", Terminálu nebo PowerShellu. Legitimní CAPTCHA nikdy nenavádí uživatele k provádění takových kroků.
5. Blokujte RPC koncové body chytrých kontraktů – Tam, kde je to možné, omezte odchozí přístup k veřejným bránám BNB Smart Chain RPC z koncových bodů, které nevyžadují přístup k blockchainu.
6. Používejte Microsoft Defender pro SmartScreen – Tento nástroj pomáhá blokovat škodlivé webové stránky již ve fázi počátečního přístupu, čímž zabrání tomu, aby se uživatel vůbec dostal na falešné CAPTCHA .

Detekce a pokrytí

Zatímco veřejné varování Microsoftu neposkytlo vyčerpávající seznam konkrétních detekčních názvů Microsoft Defender Antivirus pro tuto konkrétní kampaň , související bezpečnostní výzkum z července a srpna 2026 naznačuje, že Microsoft Defender for Endpoint poskytuje behaviorální pokrytí pro :

• Vzory provádění living-off-the-land
• Podezřelou aktivitu WebDAV a MSHTA
• Obfuskované provádění PowerShellu
• Perzistenci pomocí naplánovaných úloh
• Provádění payloadů v paměti
• Krádež přihlašovacích údajů z prohlížeče

Blog o macOS ClickFix zveřejněný společností Microsoft 5. srpna 2026 dokumentoval, že Microsoft Defender pro SmartScreen blokuje škodlivou webovou stránku a Defender XDR poskytuje plošné pokrytí v rámci specifických mapování taktik a technik . Detekce Microsoft Defender Antivirus pro širší rodinu hrozeb ClickFix zahrnují názvy jako Behavior:Win32/ClickFix, Trojan:Win32/ClickFix a Trojan:HTML/FakeCaptcha , ačkoli konkrétní signatury pro JavaScriptové injektáže související s BNB Chainem v této kampani byly nasazeny, ale nebyly ve veřejném varování jmenovány .