So funktioniert der Angriff: Die EtherHiding-Technik

Das Kernstück – und der Grund, warum die Kampagne so schwer zu unterbinden ist – ist die EtherHiding-Technik. Anstatt sich auf einen klassischen Kommando- und Kontrollserver (C2) zu stützen, den man abschalten könnte, speichern die Angreifer die schädlichen Anweisungen direkt in Smart Contracts auf der BNB Smart Chain . Da nur die Wallet-Adresse, die den Vertrag erstellt hat, dessen Inhalt ändern kann, ist das Entfernen der schädlichen Anweisungen durch herkömmliche Abschalt- oder Blockiermethoden praktisch unmöglich . Die Kampagne überschneidet sich mit der ClearFake-Malware-Operation, die zuvor gefälschte Browser-Update-Aufforderungen zur Verbreitung von Malware nutzte .

Die Infektionskette: Von der kompromittierten Webseite zur Malware

Der Angriff läuft in einer relativ kurzen Abfolge von Schritten ab, die das Vertrauen der Nutzer und integrierte Windows-Tools ausnutzt:

1. Kompromittierung der Webseite – Angreifer kapern legitime Webseiten (oft WordPress-Seiten) und injizieren Base64-kodiertes JavaScript in die Seite .
2. Blockchain-Abfrage – Das injizierte Skript verbindet sich mit einem BNB Smart Chain RPC-Gateway und fragt einen bestimmten Smart Contract ab, um die nächste Stufe der schädlichen Anweisungen zu laden .
3. Gefälschtes CAPTCHA – Der Browser dekodiert die abgerufenen Anweisungen und zeigt dem Nutzer einen gefälschten CAPTCHA-Bildschirm an .
4. Social Engineering (ClickFix/TerminalFix) – Der Nutzer wird aufgefordert, die Tastenkombination Windows+R (Ausführen-Dialog) zu drücken (oder Windows Terminal / PowerShell zu öffnen), den Befehl aus seiner Zwischenablage einzufügen und auszuführen . Dies ist der entscheidende Trick: Das Opfer wird zum unfreiwilligen Teilnehmer an der Infektion gemacht.
5. Malware-Ausführung – Der eingefügte Befehl lädt die eigentliche Schadsoftware herunter und führt sie aus .

Missbrauchte Windows-Werkzeuge (Living-off-the-Land)

Um der Erkennung zu entgehen, missbrauchen die Angreifer in großem Umfang legitime, in Windows integrierte Komponenten – eine Technik, die als "Living-off-the-Land" (LOLBins) bekannt ist . Zu den beobachteten Werkzeugen gehören:

• conhost – Konsolenhost für die Befehlsausführung
• PowerShell – Skriptausführung und Herunterladen von Schadcode
• cmd (Eingabeaufforderung) – Direkte Befehlsausführung
• mshta – Ausführung schädlicher HTA-Dateien
• rundll32 – Laden von DLLs über die Befehlszeile
• curl – Herunterladen weiterer Schadsoftware
• WMI (Windows Management Instrumentation) – Für laterale Bewegung oder Persistenz
• Windows-Ausführen-Dialog – Der Einstiegspunkt gemäß dem ClickFix-Köder

Durch die Nutzung dieser vertrauenswürdigen Microsoft-Komponenten können Angreifer viele traditionelle Endpunkt-Schutzmaßnahmen umgehen .

Verteilte Malware-Familien

Die Kampagne ist nicht auf eine einzelne Malware beschränkt. Sie dient als Verteilungsmechanismus für eine Reihe von Informationsdiebstahl- und Fernzugriffs-Trojanern :

• Lumma Stealer – Die primäre Nutzlast in vielen Fällen . Er erbeutet Browser-Passwörter, Kryptowährungs-Wallet-Zugangsdaten, Session-Cookies und andere sensible Daten.
• XWorm (Xworm) – Ein Trojaner für den Fernzugriff (RAT), der Datendiebstahl und das Herunterladen weiterer Schadsoftware ermöglicht.
• AsyncRAT – Ein Open-Source-RAT, der für Überwachung, Keylogging und den Diebstahl von Anmeldeinformationen eingesetzt wird.
• MintsLoader – Ein Downloader/Loader, der zusätzliche Malware auf dem kompromittierten System installiert.
• Remote-Verwaltungstools – Potenziell missbrauchte legitime Tools (z. B. AnyDesk, Bildschirmfreigabe-Software) für Persistenz und laterale Bewegung.

Ein erfolgreicher Angriff kann zur Offenlegung von Zugangsdaten, zur Einrichtung eines dauerhaften Zugangs, zu lateraler Bewegung im Netzwerk und schließlich zur Verbreitung von Ransomware führen . Auf macOS-Systemen wurden auch MacSync und Atomic Stealer als Nutzlasten beobachtet .

Microsofts empfohlene Schutzmaßnahmen

Microsoft hat mehrere praktische Empfehlungen zum Schutz vor dieser Kampagne ausgesprochen :

1. Mehrschichtigen Schutz in Microsoft Defender aktivieren – Stellen Sie sicher, dass Echtzeitschutz, cloudgestützter Schutz und Manipulationsschutz aktiv sind.
2. Befehlszeilentools einschränken – Verwenden Sie AppLocker oder Windows Defender Application Control (WDAC), um die nicht vertrauenswürdige Ausführung von Tools wie PowerShell, mshta und rundll32 zu blockieren.
3. PowerShell-Skriptprotokollierung aktivieren – Schalten Sie die Skriptblockprotokollierung und -transkription ein, um verschleierte Befehlsausführungsversuche zu erkennen.
4. Benutzersensibilisierung (der kritischste Schritt) – Fügen Sie niemals Befehle aus unbekannten oder nicht verifizierten Quellen in den Ausführen-Dialog, das Terminal oder PowerShell ein. Ein legitimes CAPTCHA wird einen Benutzer nie auffordern, solche Aktionen durchzuführen.
5. Smart-Contract-RPC-Endpunkte blockieren – Schränken Sie dort, wo machbar, ausgehende Verbindungen zu öffentlichen BNB Smart Chain RPC-Gateways von Endpunkten aus ein, die keinen Blockchain-Zugriff benötigen.
6. Microsoft Defender SmartScreen nutzen – Dieses Tool hilft, schädliche Webseiten bereits in der ersten Zugriffsphase zu blockieren, sodass der Nutzer das gefälschte CAPTCHA erst gar nicht sieht .

Erkennung und Abdeckung

Die öffentliche Warnung von Microsoft enthielt keine erschöpfende Liste spezifischer Erkennungsnamen von Microsoft Defender Antivirus für diese bestimmte Kampagne . Die damit verbundene Sicherheitsforschung von Juli und August 2026 zeigt jedoch, dass Microsoft Defender for Endpoint verhaltensbezogene Abdeckung für Folgendes bietet :

• Living-off-the-Land-Ausführungsmuster
• Verdächtige WebDAV- und MSHTA-Aktivitäten
• Verschleierte PowerShell-Ausführung
• Persistenz über geplante Aufgaben
• Ausführung von Schadcode im Arbeitsspeicher
• Diebstahl von Browser-Anmeldeinformationen

Der macOS-ClickFix-Blog von Microsoft vom 5. August 2026 dokumentierte, dass Microsoft Defender SmartScreen die schädliche Webseite blockiert und Defender XDR unter bestimmten Taktik- und Technik-Zuordnungen Oberflächenabdeckung bietet . Zu den Erkennungen von Microsoft Defender Antivirus für die breitere ClickFix-Bedrohungsfamilie gehören Namen wie Behavior:Win32/ClickFix, Trojan:Win32/ClickFix und Trojan:HTML/FakeCaptcha . Spezifische Signaturen für die BNB-Chain-bezogenen JavaScript-Injektionen dieser Kampagne wurden zwar bereitgestellt, aber in der öffentlichen Warnung nicht einzeln benannt .

So funktioniert der Angriff: Die EtherHiding-Technik

Das Kernstück – und der Grund, warum die Kampagne so schwer zu unterbinden ist – ist die EtherHiding-Technik. Anstatt sich auf einen klassischen Kommando- und Kontrollserver (C2) zu stützen, den man abschalten könnte, speichern die Angreifer die schädlichen Anweisungen direkt in Smart Contracts auf der BNB Smart Chain . Da nur die Wallet-Adresse, die den Vertrag erstellt hat, dessen Inhalt ändern kann, ist das Entfernen der schädlichen Anweisungen durch herkömmliche Abschalt- oder Blockiermethoden praktisch unmöglich . Die Kampagne überschneidet sich mit der ClearFake-Malware-Operation, die zuvor gefälschte Browser-Update-Aufforderungen zur Verbreitung von Malware nutzte .

Die Infektionskette: Von der kompromittierten Webseite zur Malware

Der Angriff läuft in einer relativ kurzen Abfolge von Schritten ab, die das Vertrauen der Nutzer und integrierte Windows-Tools ausnutzt:

1. Kompromittierung der Webseite – Angreifer kapern legitime Webseiten (oft WordPress-Seiten) und injizieren Base64-kodiertes JavaScript in die Seite .
2. Blockchain-Abfrage – Das injizierte Skript verbindet sich mit einem BNB Smart Chain RPC-Gateway und fragt einen bestimmten Smart Contract ab, um die nächste Stufe der schädlichen Anweisungen zu laden .
3. Gefälschtes CAPTCHA – Der Browser dekodiert die abgerufenen Anweisungen und zeigt dem Nutzer einen gefälschten CAPTCHA-Bildschirm an .
4. Social Engineering (ClickFix/TerminalFix) – Der Nutzer wird aufgefordert, die Tastenkombination Windows+R (Ausführen-Dialog) zu drücken (oder Windows Terminal / PowerShell zu öffnen), den Befehl aus seiner Zwischenablage einzufügen und auszuführen . Dies ist der entscheidende Trick: Das Opfer wird zum unfreiwilligen Teilnehmer an der Infektion gemacht.
5. Malware-Ausführung – Der eingefügte Befehl lädt die eigentliche Schadsoftware herunter und führt sie aus .

Missbrauchte Windows-Werkzeuge (Living-off-the-Land)

Um der Erkennung zu entgehen, missbrauchen die Angreifer in großem Umfang legitime, in Windows integrierte Komponenten – eine Technik, die als "Living-off-the-Land" (LOLBins) bekannt ist . Zu den beobachteten Werkzeugen gehören:

• conhost – Konsolenhost für die Befehlsausführung
• PowerShell – Skriptausführung und Herunterladen von Schadcode
• cmd (Eingabeaufforderung) – Direkte Befehlsausführung
• mshta – Ausführung schädlicher HTA-Dateien
• rundll32 – Laden von DLLs über die Befehlszeile
• curl – Herunterladen weiterer Schadsoftware
• WMI (Windows Management Instrumentation) – Für laterale Bewegung oder Persistenz
• Windows-Ausführen-Dialog – Der Einstiegspunkt gemäß dem ClickFix-Köder

Durch die Nutzung dieser vertrauenswürdigen Microsoft-Komponenten können Angreifer viele traditionelle Endpunkt-Schutzmaßnahmen umgehen .

Verteilte Malware-Familien

Die Kampagne ist nicht auf eine einzelne Malware beschränkt. Sie dient als Verteilungsmechanismus für eine Reihe von Informationsdiebstahl- und Fernzugriffs-Trojanern :

• Lumma Stealer – Die primäre Nutzlast in vielen Fällen . Er erbeutet Browser-Passwörter, Kryptowährungs-Wallet-Zugangsdaten, Session-Cookies und andere sensible Daten.
• XWorm (Xworm) – Ein Trojaner für den Fernzugriff (RAT), der Datendiebstahl und das Herunterladen weiterer Schadsoftware ermöglicht.
• AsyncRAT – Ein Open-Source-RAT, der für Überwachung, Keylogging und den Diebstahl von Anmeldeinformationen eingesetzt wird.
• MintsLoader – Ein Downloader/Loader, der zusätzliche Malware auf dem kompromittierten System installiert.
• Remote-Verwaltungstools – Potenziell missbrauchte legitime Tools (z. B. AnyDesk, Bildschirmfreigabe-Software) für Persistenz und laterale Bewegung.

Ein erfolgreicher Angriff kann zur Offenlegung von Zugangsdaten, zur Einrichtung eines dauerhaften Zugangs, zu lateraler Bewegung im Netzwerk und schließlich zur Verbreitung von Ransomware führen . Auf macOS-Systemen wurden auch MacSync und Atomic Stealer als Nutzlasten beobachtet .

Microsofts empfohlene Schutzmaßnahmen

Microsoft hat mehrere praktische Empfehlungen zum Schutz vor dieser Kampagne ausgesprochen :

1. Mehrschichtigen Schutz in Microsoft Defender aktivieren – Stellen Sie sicher, dass Echtzeitschutz, cloudgestützter Schutz und Manipulationsschutz aktiv sind.
2. Befehlszeilentools einschränken – Verwenden Sie AppLocker oder Windows Defender Application Control (WDAC), um die nicht vertrauenswürdige Ausführung von Tools wie PowerShell, mshta und rundll32 zu blockieren.
3. PowerShell-Skriptprotokollierung aktivieren – Schalten Sie die Skriptblockprotokollierung und -transkription ein, um verschleierte Befehlsausführungsversuche zu erkennen.
4. Benutzersensibilisierung (der kritischste Schritt) – Fügen Sie niemals Befehle aus unbekannten oder nicht verifizierten Quellen in den Ausführen-Dialog, das Terminal oder PowerShell ein. Ein legitimes CAPTCHA wird einen Benutzer nie auffordern, solche Aktionen durchzuführen.
5. Smart-Contract-RPC-Endpunkte blockieren – Schränken Sie dort, wo machbar, ausgehende Verbindungen zu öffentlichen BNB Smart Chain RPC-Gateways von Endpunkten aus ein, die keinen Blockchain-Zugriff benötigen.
6. Microsoft Defender SmartScreen nutzen – Dieses Tool hilft, schädliche Webseiten bereits in der ersten Zugriffsphase zu blockieren, sodass der Nutzer das gefälschte CAPTCHA erst gar nicht sieht .

Erkennung und Abdeckung

Die öffentliche Warnung von Microsoft enthielt keine erschöpfende Liste spezifischer Erkennungsnamen von Microsoft Defender Antivirus für diese bestimmte Kampagne . Die damit verbundene Sicherheitsforschung von Juli und August 2026 zeigt jedoch, dass Microsoft Defender for Endpoint verhaltensbezogene Abdeckung für Folgendes bietet :

• Living-off-the-Land-Ausführungsmuster
• Verdächtige WebDAV- und MSHTA-Aktivitäten
• Verschleierte PowerShell-Ausführung
• Persistenz über geplante Aufgaben
• Ausführung von Schadcode im Arbeitsspeicher
• Diebstahl von Browser-Anmeldeinformationen

Der macOS-ClickFix-Blog von Microsoft vom 5. August 2026 dokumentierte, dass Microsoft Defender SmartScreen die schädliche Webseite blockiert und Defender XDR unter bestimmten Taktik- und Technik-Zuordnungen Oberflächenabdeckung bietet . Zu den Erkennungen von Microsoft Defender Antivirus für die breitere ClickFix-Bedrohungsfamilie gehören Namen wie Behavior:Win32/ClickFix, Trojan:Win32/ClickFix und Trojan:HTML/FakeCaptcha . Spezifische Signaturen für die BNB-Chain-bezogenen JavaScript-Injektionen dieser Kampagne wurden zwar bereitgestellt, aber in der öffentlichen Warnung nicht einzeln benannt .