Cómo funciona el ataque: la técnica EtherHiding

La innovación central, y la razón por la que esta campaña es tan difícil de desarticular, es la técnica EtherHiding. En lugar de depender de un servidor de comando y control tradicional que pueda ser desmantelado, los atacantes almacenan las instrucciones maliciosas directamente dentro de contratos inteligentes de BNB Smart Chain . Dado que solo la dirección de billetera que desplegó el contrato puede modificar su contenido, eliminar las instrucciones maliciosas mediante métodos tradicionales de retirada o bloqueo es prácticamente imposible . Esta campaña se superpone con la operación de malware ClearFake, que anteriormente usaba falsas indicaciones de actualización del navegador para distribuir malware .

La cadena de infección: de un sitio web comprometido al malware

El ataque se desarrolla en una secuencia relativamente corta de pasos que explotan la confianza del usuario y las herramientas integradas de Windows:

1. Compromiso del sitio web: Los atacantes comprometen sitios web legítimos (a menudo sitios WordPress) e inyectan JavaScript codificado en Base64 en la página .
2. Consulta a la blockchain: El script inyectado se conecta a una puerta de enlace RPC de BNB Smart Chain y consulta un contrato inteligente específico para obtener las siguientes instrucciones maliciosas .
3. CAPTCHA falso: El navegador decodifica las instrucciones obtenidas y muestra al usuario una pantalla de verificación CAPTCHA fabricada .
4. Ingeniería social (ClickFix/TerminalFix): Se guía al usuario para que presione Windows+R y abra el diálogo 'Ejecutar' (o abra Windows Terminal o PowerShell), pegue el comando de su portapapeles y lo ejecute . Este es el truco clave de ingeniería social: convierte a la víctima en un participante involuntario de la infección.
5. Ejecución del malware: El comando pegado descarga y ejecuta la carga maliciosa final .

Herramientas de Windows abusadas (Living-off-the-Land)

Para evadir la detección, los atacantes abusan extensamente de componentes legítimos e integrados de Windows, una técnica conocida como "living-off-the-land" (LOLBins) . Las herramientas observadas en esta campaña incluyen:

• conhost: Host de consola utilizado para la ejecución de comandos.
• PowerShell: Ejecución de scripts y descarga de cargas maliciosas.
• cmd (Símbolo del sistema): Ejecución directa de comandos.
• mshta: Ejecución de archivos HTA maliciosos.
• rundll32: Carga de DLL a través de la línea de comandos.
• curl: Descarga de cargas maliciosas de siguiente etapa.
• WMI (Instrumentación de administración de Windows): Para movimiento lateral o persistencia.
• Diálogo 'Ejecutar' de Windows: El punto de ejecución inicial según el señuelo ClickFix.

Al utilizar estos componentes confiables de Microsoft, los atacantes pueden eludir muchas defensas tradicionales de los endpoints .

Familias de malware distribuidas

Esta campaña no se limita a un solo tipo de malware. Sirve como mecanismo de distribución para una variedad de troyanos robadores de información y de acceso remoto :

• Lumma Stealer: La carga maliciosa principal observada en muchos casos . Roba contraseñas del navegador, credenciales de billeteras de criptomonedas, cookies de sesión y otros datos sensibles.
• XWorm (Xworm): Un troyano de acceso remoto (RAT) capaz de robar datos y descargar cargas maliciosas adicionales.
• AsyncRAT: Un RAT de código abierto utilizado para vigilancia, keylogging y robo de credenciales.
• MintsLoader: Un descargador/cargador que instala malware adicional en el sistema comprometido.
• Herramientas de administración remota: Herramientas legítimas potencialmente abusadas (ej. AnyDesk, software de compartir pantalla) para persistencia y movimiento lateral.

Una ejecución exitosa puede provocar la exposición de credenciales, el establecimiento de acceso persistente, el movimiento lateral dentro de una red y, finalmente, la implementación de ransomware . En sistemas macOS, también se ha observado que la campaña distribuye MacSync y Atomic Stealer .

Medidas defensivas recomendadas por Microsoft

Microsoft ha emitido varias recomendaciones prácticas para protegerse contra esta campaña :

1. Habilitar la protección multicapa en Microsoft Defender: Asegúrese de que la protección en tiempo real, la protección entregada en la nube y la protección contra manipulaciones estén activas.
2. Restringir las herramientas de línea de comandos: Use AppLocker o Windows Defender Application Control (WDAC) para bloquear la ejecución no confiable de herramientas como PowerShell, mshta y rundll32.
3. Habilitar el registro de scripts de PowerShell: Active el registro de bloques de scripts y la transcripción para detectar intentos de ejecución de comandos ofuscados.
4. Concienciación del usuario (el paso más crítico): Nunca pegue comandos de fuentes desconocidas o no verificadas en el diálogo 'Ejecutar', Terminal o PowerShell. Un CAPTCHA legítimo nunca indicará al usuario que realice ninguna de estas acciones.
5. Bloquear los endpoints RPC de contratos inteligentes: Cuando sea factible, restrinja el acceso de salida a las puertas de enlace RPC públicas de BNB Smart Chain desde endpoints que no requieran acceso a la blockchain.
6. Usar Microsoft Defender for SmartScreen: Esta herramienta ayuda a bloquear páginas web maliciosas en la etapa de acceso inicial, evitando que el usuario llegue a ver el CAPTCHA falso .

Detección y cobertura

Si bien el aviso público de Microsoft no proporcionó una lista exhaustiva de nombres de detección específicos de Microsoft Defender Antivirus para esta campaña en particular , investigaciones de seguridad relacionadas de julio y agosto de 2026 indican que Microsoft Defender for Endpoint proporciona cobertura de comportamiento para :

• Patrones de ejecución "living-off-the-land".
• Actividad sospechosa de WebDAV y MSHTA.
• Ejecución ofuscada de PowerShell.
• Persistencia a través de tareas programadas.
• Ejecución de cargas maliciosas en memoria.
• Robo de credenciales del navegador.

El blog de ClickFix para macOS publicado por Microsoft el 5 de agosto de 2026 documentó que Microsoft Defender for SmartScreen bloquea la página web maliciosa, y Defender XDR proporciona cobertura general bajo mapeos específicos de tácticas y técnicas . Las detecciones de Microsoft Defender Antivirus para la familia de amenazas ClickFix más amplia incluyen nombres como Behavior:Win32/ClickFix, Trojan:Win32/ClickFix y Trojan:HTML/FakeCaptcha , aunque las firmas específicas para las inyecciones de JavaScript relacionadas con BNB Chain de esta campaña se implementaron pero no se nombraron individualmente en la advertencia pública .

Cómo funciona el ataque: la técnica EtherHiding

La innovación central, y la razón por la que esta campaña es tan difícil de desarticular, es la técnica EtherHiding. En lugar de depender de un servidor de comando y control tradicional que pueda ser desmantelado, los atacantes almacenan las instrucciones maliciosas directamente dentro de contratos inteligentes de BNB Smart Chain . Dado que solo la dirección de billetera que desplegó el contrato puede modificar su contenido, eliminar las instrucciones maliciosas mediante métodos tradicionales de retirada o bloqueo es prácticamente imposible . Esta campaña se superpone con la operación de malware ClearFake, que anteriormente usaba falsas indicaciones de actualización del navegador para distribuir malware .

La cadena de infección: de un sitio web comprometido al malware

El ataque se desarrolla en una secuencia relativamente corta de pasos que explotan la confianza del usuario y las herramientas integradas de Windows:

1. Compromiso del sitio web: Los atacantes comprometen sitios web legítimos (a menudo sitios WordPress) e inyectan JavaScript codificado en Base64 en la página .
2. Consulta a la blockchain: El script inyectado se conecta a una puerta de enlace RPC de BNB Smart Chain y consulta un contrato inteligente específico para obtener las siguientes instrucciones maliciosas .
3. CAPTCHA falso: El navegador decodifica las instrucciones obtenidas y muestra al usuario una pantalla de verificación CAPTCHA fabricada .
4. Ingeniería social (ClickFix/TerminalFix): Se guía al usuario para que presione Windows+R y abra el diálogo 'Ejecutar' (o abra Windows Terminal o PowerShell), pegue el comando de su portapapeles y lo ejecute . Este es el truco clave de ingeniería social: convierte a la víctima en un participante involuntario de la infección.
5. Ejecución del malware: El comando pegado descarga y ejecuta la carga maliciosa final .

Herramientas de Windows abusadas (Living-off-the-Land)

Para evadir la detección, los atacantes abusan extensamente de componentes legítimos e integrados de Windows, una técnica conocida como "living-off-the-land" (LOLBins) . Las herramientas observadas en esta campaña incluyen:

• conhost: Host de consola utilizado para la ejecución de comandos.
• PowerShell: Ejecución de scripts y descarga de cargas maliciosas.
• cmd (Símbolo del sistema): Ejecución directa de comandos.
• mshta: Ejecución de archivos HTA maliciosos.
• rundll32: Carga de DLL a través de la línea de comandos.
• curl: Descarga de cargas maliciosas de siguiente etapa.
• WMI (Instrumentación de administración de Windows): Para movimiento lateral o persistencia.
• Diálogo 'Ejecutar' de Windows: El punto de ejecución inicial según el señuelo ClickFix.

Al utilizar estos componentes confiables de Microsoft, los atacantes pueden eludir muchas defensas tradicionales de los endpoints .

Familias de malware distribuidas

Esta campaña no se limita a un solo tipo de malware. Sirve como mecanismo de distribución para una variedad de troyanos robadores de información y de acceso remoto :

• Lumma Stealer: La carga maliciosa principal observada en muchos casos . Roba contraseñas del navegador, credenciales de billeteras de criptomonedas, cookies de sesión y otros datos sensibles.
• XWorm (Xworm): Un troyano de acceso remoto (RAT) capaz de robar datos y descargar cargas maliciosas adicionales.
• AsyncRAT: Un RAT de código abierto utilizado para vigilancia, keylogging y robo de credenciales.
• MintsLoader: Un descargador/cargador que instala malware adicional en el sistema comprometido.
• Herramientas de administración remota: Herramientas legítimas potencialmente abusadas (ej. AnyDesk, software de compartir pantalla) para persistencia y movimiento lateral.

Una ejecución exitosa puede provocar la exposición de credenciales, el establecimiento de acceso persistente, el movimiento lateral dentro de una red y, finalmente, la implementación de ransomware . En sistemas macOS, también se ha observado que la campaña distribuye MacSync y Atomic Stealer .

Medidas defensivas recomendadas por Microsoft

Microsoft ha emitido varias recomendaciones prácticas para protegerse contra esta campaña :

1. Habilitar la protección multicapa en Microsoft Defender: Asegúrese de que la protección en tiempo real, la protección entregada en la nube y la protección contra manipulaciones estén activas.
2. Restringir las herramientas de línea de comandos: Use AppLocker o Windows Defender Application Control (WDAC) para bloquear la ejecución no confiable de herramientas como PowerShell, mshta y rundll32.
3. Habilitar el registro de scripts de PowerShell: Active el registro de bloques de scripts y la transcripción para detectar intentos de ejecución de comandos ofuscados.
4. Concienciación del usuario (el paso más crítico): Nunca pegue comandos de fuentes desconocidas o no verificadas en el diálogo 'Ejecutar', Terminal o PowerShell. Un CAPTCHA legítimo nunca indicará al usuario que realice ninguna de estas acciones.
5. Bloquear los endpoints RPC de contratos inteligentes: Cuando sea factible, restrinja el acceso de salida a las puertas de enlace RPC públicas de BNB Smart Chain desde endpoints que no requieran acceso a la blockchain.
6. Usar Microsoft Defender for SmartScreen: Esta herramienta ayuda a bloquear páginas web maliciosas en la etapa de acceso inicial, evitando que el usuario llegue a ver el CAPTCHA falso .

Detección y cobertura

Si bien el aviso público de Microsoft no proporcionó una lista exhaustiva de nombres de detección específicos de Microsoft Defender Antivirus para esta campaña en particular , investigaciones de seguridad relacionadas de julio y agosto de 2026 indican que Microsoft Defender for Endpoint proporciona cobertura de comportamiento para :

• Patrones de ejecución "living-off-the-land".
• Actividad sospechosa de WebDAV y MSHTA.
• Ejecución ofuscada de PowerShell.
• Persistencia a través de tareas programadas.
• Ejecución de cargas maliciosas en memoria.
• Robo de credenciales del navegador.

El blog de ClickFix para macOS publicado por Microsoft el 5 de agosto de 2026 documentó que Microsoft Defender for SmartScreen bloquea la página web maliciosa, y Defender XDR proporciona cobertura general bajo mapeos específicos de tácticas y técnicas . Las detecciones de Microsoft Defender Antivirus para la familia de amenazas ClickFix más amplia incluyen nombres como Behavior:Win32/ClickFix, Trojan:Win32/ClickFix y Trojan:HTML/FakeCaptcha , aunque las firmas específicas para las inyecciones de JavaScript relacionadas con BNB Chain de esta campaña se implementaron pero no se nombraron individualmente en la advertencia pública .