Sådan fungerer angrebet: EtherHiding-teknikken

Den centrale nyskabelse – og grunden til at denne kampagne er så svær at stoppe – er EtherHiding-teknikken. I stedet for at stole på en traditionel kommando- og kontrolserver, som kan tages ned, gemmer angribere ondsindede instruktioner direkte inde i smartkontrakter på BNB Smart Chain . Da kun den cryptocurrency-wallet, der har implementeret kontrakten, kan ændre dens indhold, er det praktisk talt umuligt at fjerne de ondsindede instruktioner gennem traditionelle nedtagnings- eller blokeringsmetoder . Denne kampagne overlapper med ClearFake-malwareoperationen, som tidligere brugte falske browseropdateringsprompter til at distribuere malware .

Inficeringskæden: Fra en kompromitteret hjemmeside til malware

Angrebet udfolder sig i en relativt kort sekvens af trin, der udnytter brugertillid og indbyggede Windows-værktøjer:

1. Kompromittering af hjemmeside – Angribere kompromitterer legitime hjemmesider (ofte WordPress-sider) og injicerer Base64-kodet JavaScript på siden .
2. Blockchain-forespørgsel – Det injicerede script opretter forbindelse til en BNB Smart Chain RPC-gateway og forespørger en specifik smartkontrakt for at hente de næste ondsindede instruktioner .
3. Falsk CAPTCHA – Browseren afkoder de hentede instruktioner og viser en forfalsket CAPTCHA-bekræftelsesskærm til brugeren .
4. Social manipulation (ClickFix/TerminalFix) – Brugeren guides til at trykke Windows+R for at åbne dialogboksen Kør (eller åbne Windows Terminal eller PowerShell), indsætte kommandoen fra udklipsholderen og udføre den . Dette er det centrale social manipulationstrick: det gør offeret til en uvidende deltager i infektionen.
5. Malware-udførelse – Den indsatte kommando downloader og udfører den endelige malware-nyttelast .

Misbrugte Windows-værktøjer (Living-off-the-Land)

For at undgå detektion misbruger angribere i vid udstrækning legitime, indbyggede Windows-komponenter – en teknik kendt som "living-off-the-land" (LOLBins) . De værktøjer, der er observeret i denne kampagne, inkluderer:

• conhost – Konsolvært brugt til kommandoudførelse
• PowerShell – Scriptudførelse og download af nyttelaster
• cmd (Kommandoprompt) – Direkte kommandoudførelse
• mshta – Kørsel af ondsindede HTA-filer
• rundll32 – Indlæsning af DLL'er via kommandolinjen
• curl – Download af næste trins nyttelaster
• WMI (Windows Management Instrumentation) – Til lateral bevægelse eller persistens
• Windows' dialogboks Kør – Det indledende udførelsespunkt i henhold til ClickFix-lokkemaden

Ved at bruge disse betroede Microsoft-komponenter kan angribere omgå mange traditionelle endpoint-forsvar .

Distribuerede malware-familier

Denne kampagne er ikke begrænset til en enkelt type malware. Den fungerer som en leveringsmekanisme for en række informationsstjælende og fjernadgangstrojanere :

• Lumma Stealer – Den primære nyttelast observeret i mange tilfælde . Den høster browseradgangskoder, cryptocurrency-wallet-legitimationsoplysninger, sessionscookies og andre følsomme data.
• XWorm (Xworm) – En fjernadgangstrojaner (RAT), der er i stand til datatyveri og download af yderligere nyttelaster.
• AsyncRAT – En open source RAT, der bruges til overvågning, keylogging og tyveri af legitimationsoplysninger.
• MintsLoader – En downloader/loader, der installerer yderligere malware på det kompromitterede system.
• Fjernstyringsværktøjer – Potentielt misbrugte legitime værktøjer (f.eks. AnyDesk, skærmdelingssoftware) til persistens og lateral bevægelse.

En vellykket udførelse kan føre til eksponering af legitimationsoplysninger, etablering af vedvarende adgang, lateral bevægelse inden for et netværk og eventuel implementering af ransomware . På macOS-systemer er kampagnen også blevet observeret med at levere MacSync og Atomic Stealer .

Microsofts anbefalede forsvarsforanstaltninger

Microsoft har udsendt flere praktiske anbefalinger til beskyttelse mod denne kampagne :

1. Aktivér flerlagsbeskyttelse i Microsoft Defender – Sørg for, at realtidsbeskyttelse, cloud-leveret beskyttelse og tamper protection alle er aktive.
2. Begræns kommandolinjeværktøjer – Brug AppLocker eller Windows Defender Application Control (WDAC) til at blokere upålidelig udførelse af værktøjer som PowerShell, mshta og rundll32.
3. Aktivér PowerShell-scriptlogning – Slå script-block-logning og transskription til for at opdage forsøg på obfuskeret kommandoudførelse.
4. Brugerbevidsthed (det mest kritiske trin) – Indsæt aldrig kommandoer fra ukendte eller ubekræftede kilder i dialogboksen Kør, Terminal eller PowerShell. En legitim CAPTCHA vil aldrig instruere en bruger i at udføre nogen af disse handlinger.
5. Bloker RPC-endepunkter for smartkontrakter – Hvor det er muligt, begræns udgående adgang til offentlige BNB Smart Chain RPC-gateways fra enheder, der ikke kræver blockchain-adgang.
6. Brug Microsoft Defender for SmartScreen – Dette værktøj hjælper med at blokere ondsindede hjemmesider på det indledende adgangsstadie og forhindrer brugeren i nogensinde at se den falske CAPTCHA .

Detektion og dækning

Selvom den offentlige rådgivning fra Microsoft ikke gav en udtømmende liste over specifikke detektionsnavne for Microsoft Defender Antivirus for denne særlige kampagne , indikerer relateret sikkerhedsforskning fra juli og august 2026, at Microsoft Defender for Endpoint giver adfærdsmæssig dækning for :

• Living-off-the-land udførelsesmønstre
• Mistænkelig WebDAV- og MSHTA-aktivitet
• Obfuskeret PowerShell-udførelse
• Planlagt-opgave-persistens
• In-memory nyttelastudførelse
• Tyveri af browser-legitimationsoplysninger

macOS ClickFix-bloggen, som Microsoft udgav den 5. august 2026, dokumenterede, at Microsoft Defender for SmartScreen blokerer den ondsindede hjemmeside, og at Defender XDR giver overfladedækning under specifikke taktik- og teknikafbildninger . Microsoft Defender Antivirus-detektioner for den bredere ClickFix-trusselsfamilie inkluderer navne som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix og Trojan:HTML/FakeCaptcha , selvom specifikke signaturer for denne kampagnes BNB Chain-relaterede JavaScript-injektioner er implementeret, men ikke blev individuelt navngivet i den offentlige advarsel .

Sådan fungerer angrebet: EtherHiding-teknikken

Den centrale nyskabelse – og grunden til at denne kampagne er så svær at stoppe – er EtherHiding-teknikken. I stedet for at stole på en traditionel kommando- og kontrolserver, som kan tages ned, gemmer angribere ondsindede instruktioner direkte inde i smartkontrakter på BNB Smart Chain . Da kun den cryptocurrency-wallet, der har implementeret kontrakten, kan ændre dens indhold, er det praktisk talt umuligt at fjerne de ondsindede instruktioner gennem traditionelle nedtagnings- eller blokeringsmetoder . Denne kampagne overlapper med ClearFake-malwareoperationen, som tidligere brugte falske browseropdateringsprompter til at distribuere malware .

Inficeringskæden: Fra en kompromitteret hjemmeside til malware

Angrebet udfolder sig i en relativt kort sekvens af trin, der udnytter brugertillid og indbyggede Windows-værktøjer:

1. Kompromittering af hjemmeside – Angribere kompromitterer legitime hjemmesider (ofte WordPress-sider) og injicerer Base64-kodet JavaScript på siden .
2. Blockchain-forespørgsel – Det injicerede script opretter forbindelse til en BNB Smart Chain RPC-gateway og forespørger en specifik smartkontrakt for at hente de næste ondsindede instruktioner .
3. Falsk CAPTCHA – Browseren afkoder de hentede instruktioner og viser en forfalsket CAPTCHA-bekræftelsesskærm til brugeren .
4. Social manipulation (ClickFix/TerminalFix) – Brugeren guides til at trykke Windows+R for at åbne dialogboksen Kør (eller åbne Windows Terminal eller PowerShell), indsætte kommandoen fra udklipsholderen og udføre den . Dette er det centrale social manipulationstrick: det gør offeret til en uvidende deltager i infektionen.
5. Malware-udførelse – Den indsatte kommando downloader og udfører den endelige malware-nyttelast .

Misbrugte Windows-værktøjer (Living-off-the-Land)

For at undgå detektion misbruger angribere i vid udstrækning legitime, indbyggede Windows-komponenter – en teknik kendt som "living-off-the-land" (LOLBins) . De værktøjer, der er observeret i denne kampagne, inkluderer:

• conhost – Konsolvært brugt til kommandoudførelse
• PowerShell – Scriptudførelse og download af nyttelaster
• cmd (Kommandoprompt) – Direkte kommandoudførelse
• mshta – Kørsel af ondsindede HTA-filer
• rundll32 – Indlæsning af DLL'er via kommandolinjen
• curl – Download af næste trins nyttelaster
• WMI (Windows Management Instrumentation) – Til lateral bevægelse eller persistens
• Windows' dialogboks Kør – Det indledende udførelsespunkt i henhold til ClickFix-lokkemaden

Ved at bruge disse betroede Microsoft-komponenter kan angribere omgå mange traditionelle endpoint-forsvar .

Distribuerede malware-familier

Denne kampagne er ikke begrænset til en enkelt type malware. Den fungerer som en leveringsmekanisme for en række informationsstjælende og fjernadgangstrojanere :

• Lumma Stealer – Den primære nyttelast observeret i mange tilfælde . Den høster browseradgangskoder, cryptocurrency-wallet-legitimationsoplysninger, sessionscookies og andre følsomme data.
• XWorm (Xworm) – En fjernadgangstrojaner (RAT), der er i stand til datatyveri og download af yderligere nyttelaster.
• AsyncRAT – En open source RAT, der bruges til overvågning, keylogging og tyveri af legitimationsoplysninger.
• MintsLoader – En downloader/loader, der installerer yderligere malware på det kompromitterede system.
• Fjernstyringsværktøjer – Potentielt misbrugte legitime værktøjer (f.eks. AnyDesk, skærmdelingssoftware) til persistens og lateral bevægelse.

En vellykket udførelse kan føre til eksponering af legitimationsoplysninger, etablering af vedvarende adgang, lateral bevægelse inden for et netværk og eventuel implementering af ransomware . På macOS-systemer er kampagnen også blevet observeret med at levere MacSync og Atomic Stealer .

Microsofts anbefalede forsvarsforanstaltninger

Microsoft har udsendt flere praktiske anbefalinger til beskyttelse mod denne kampagne :

1. Aktivér flerlagsbeskyttelse i Microsoft Defender – Sørg for, at realtidsbeskyttelse, cloud-leveret beskyttelse og tamper protection alle er aktive.
2. Begræns kommandolinjeværktøjer – Brug AppLocker eller Windows Defender Application Control (WDAC) til at blokere upålidelig udførelse af værktøjer som PowerShell, mshta og rundll32.
3. Aktivér PowerShell-scriptlogning – Slå script-block-logning og transskription til for at opdage forsøg på obfuskeret kommandoudførelse.
4. Brugerbevidsthed (det mest kritiske trin) – Indsæt aldrig kommandoer fra ukendte eller ubekræftede kilder i dialogboksen Kør, Terminal eller PowerShell. En legitim CAPTCHA vil aldrig instruere en bruger i at udføre nogen af disse handlinger.
5. Bloker RPC-endepunkter for smartkontrakter – Hvor det er muligt, begræns udgående adgang til offentlige BNB Smart Chain RPC-gateways fra enheder, der ikke kræver blockchain-adgang.
6. Brug Microsoft Defender for SmartScreen – Dette værktøj hjælper med at blokere ondsindede hjemmesider på det indledende adgangsstadie og forhindrer brugeren i nogensinde at se den falske CAPTCHA .

Detektion og dækning

Selvom den offentlige rådgivning fra Microsoft ikke gav en udtømmende liste over specifikke detektionsnavne for Microsoft Defender Antivirus for denne særlige kampagne , indikerer relateret sikkerhedsforskning fra juli og august 2026, at Microsoft Defender for Endpoint giver adfærdsmæssig dækning for :

• Living-off-the-land udførelsesmønstre
• Mistænkelig WebDAV- og MSHTA-aktivitet
• Obfuskeret PowerShell-udførelse
• Planlagt-opgave-persistens
• In-memory nyttelastudførelse
• Tyveri af browser-legitimationsoplysninger

macOS ClickFix-bloggen, som Microsoft udgav den 5. august 2026, dokumenterede, at Microsoft Defender for SmartScreen blokerer den ondsindede hjemmeside, og at Defender XDR giver overfladedækning under specifikke taktik- og teknikafbildninger . Microsoft Defender Antivirus-detektioner for den bredere ClickFix-trusselsfamilie inkluderer navne som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix og Trojan:HTML/FakeCaptcha , selvom specifikke signaturer for denne kampagnes BNB Chain-relaterede JavaScript-injektioner er implementeret, men ikke blev individuelt navngivet i den offentlige advarsel .