Kuinka hyökkäys toimii: EtherHiding-tekniikka

Keskeinen innovaatio – ja syy, miksi tätä kampanjaa on niin vaikea häiritä – on EtherHiding-tekniikka. Sen sijaan, että hyökkääjät luottaisivat perinteiseen komento- ja ohjauspalvelimeen, joka voidaan ottaa pois käytöstä, he tallentavat haitalliset ohjeet suoraan BNB Smart Chainin älysopimuksiin . Koska vain älysopimuksen luoneen lompakon osoite voi muokata sen sisältöä, perinteisten alasotto- tai estomenetelmien avulla haitallisten ohjeiden poistaminen on käytännössä mahdotonta . Tämä kampanja liittyy ClearFake-haittaohjelmaoperaatioon, joka käytti aiemmin väärennettyjä selaimen päivityskehotteita haittaohjelmien levittämiseen .

Infektioketju: Vaarannetusta verkkosivustosta haittaohjelmaan

Hyökkäys etenee lyhyessä vaihesarjassa, joka käyttää hyväksi käyttäjän luottamusta ja Windowsin sisäänrakennettuja työkaluja:

1. Verkkosivuston vaarantaminen – Hyökkääjät vaarantavat laillisia verkkosivustoja (usein WordPress-sivustoja) ja upottavat Base64-koodattua JavaScriptiä sivulle .
2. Lohkoketjukysely – Upotettu skripti yhdistää BNB Smart Chainin RPC-yhdyskäytävään ja kysyy tiettyä älysopimusta hakeakseen seuraavan vaiheen haitalliset ohjeet .
3. Väärennetty CAPTCHA – Selain purkaa haettujen ohjeiden koodauksen ja näyttää käyttäjälle väärennetyn CAPTCHA-vahvistusnäytön .
4. Sosiaalinen manipulointi (ClickFix/TerminalFix) – Käyttäjää ohjataan painamaan Windows+R avatakseen Suorita-valintaikkunan (tai avaamaan Windows Terminalin tai PowerShellin), liittämään leikepöydältä löytyvä komento ja suorittamaan se . Tämä on keskeinen sosiaalisen manipuloinnin temppu: se tekee uhrista tahtomattaan osallisen infektiossa.
5. Haittaohjelman suoritus – Liitetty komento lataa ja suorittaa lopullisen haittaohjelmasisällön .

Väärinkäytetyt Windows-työkalut (Living-off-the-Land)

Välttääkseen havaitsemisen hyökkääjät käyttävät laajasti hyväkseen laillisia, Windowsin sisäänrakennettuja komponentteja – tekniikka tunnetaan nimellä "living-off-the-land" (LOLBins) . Tässä kampanjassa havaitut työkalut ovat:

• conhost – Konsoliohjain, jota käytetään komentojen suorittamiseen
• PowerShell – Skriptien suorittaminen ja sisältöjen lataaminen
• cmd (Command Prompt) – Suora komentojen suorittaminen
• mshta – Haitallisten HTA-tiedostojen suorittaminen
• rundll32 – DLL-tiedostojen lataaminen komentorivin kautta
• curl – Seuraavan vaiheen sisältöjen lataaminen
• WMI (Windows Management Instrumentation) – Sivuttaisliikennettä tai pysyvyyttä varten
• Windowsin Suorita-valintaikkuna – Alkuperäinen suorituspiste ClickFix-houkutuksen mukaisesti

Käyttämällä näitä luotettuja Microsoft-komponentteja hyökkääjät voivat ohittaa monia perinteisiä päätepistesuojauksia .

Toimitetut haittaohjelmaperheet

Tämä kampanja ei rajoitu yksittäiseen haittaohjelmaan. Se toimii jakelumekanismina useille tietoja varastaville ja etäkäyttötroijalaisille :

• Lumma Stealer – Ensisijainen sisältö, joka on havaittu monissa tapauksissa . Se kerää selaimen salasanoja, kryptovaluuttalompakoiden tunnistetietoja, istuntoevästeitä ja muita arkaluonteisia tietoja.
• XWorm (Xworm) – Etäkäyttötroijalainen (RAT), joka pystyy varastamaan tietoja ja lataamaan lisää haittaohjelmia.
• AsyncRAT – Avoimen lähdekoodin RAT, jota käytetään valvontaan, näppäinten tallentamiseen ja tunnistetietojen varkauksiin.
• MintsLoader – Lataaja/lataaja, joka asentaa lisää haittaohjelmia vaarannettuun järjestelmään.
• Etähallintatyökalut – Mahdollisesti väärinkäytetyt lailliset työkalut (esim. AnyDesk, näytönjakosoftware) pysyvyyttä ja sivuttaisliikennettä varten.

Onnistunut suoritus voi johtaa tunnistetietojen altistumiseen, pysyvän pääsyn saamiseen, sivuttaisliikenteeseen verkossa ja mahdolliseen kiristysohjelman käyttöönottoon . macOS-järjestelmissä kampanjan on havaittu toimittavan myös MacSync- ja Atomic Stealer -haittaohjelmia .

Microsoftin suosittelemat suojautumistoimenpiteet

Microsoft on antanut useita käytännön suosituksia tätä kampanjaa vastaan suojautumiseksi :

1. Ota käyttöön monikerroksinen suojaus Microsoft Defenderissä – Varmista, että reaaliaikainen suojaus, pilvipohjainen suojaus ja peukalointisuojaus ovat kaikki käytössä.
2. Rajoita komentorivityökaluja – Käytä AppLocker- tai Windows Defender Application Control (WDAC) -ohjelmaa estämään epäluotettujen työkalujen, kuten PowerShellin, mshta:n ja rundll32:n, suorittaminen.
3. Ota PowerShell-skriptilokitus käyttöön – Ota käyttöön skriptilohkolokitus ja transkriptio, jotta voit havaita hämärrettyjen komentojen suoritusyritykset.
4. Käyttäjän tietoisuus (kriittisin vaihe) – Älä koskaan liitä komentoja tuntemattomista tai vahvistamattomista lähteistä Suorita-valintaikkunaan, Terminaaliin tai PowerShelliin. Laillinen CAPTCHA ei koskaan kehota käyttäjää suorittamaan mitään näistä toiminnoista.
5. Estä älysopimusten RPC-päätepisteet – Mahdollisuuksien mukaan rajoita lähtevää pääsyä julkisiin BNB Smart Chainin RPC-yhdyskäytäviin päätepisteistä, jotka eivät tarvitse lohkoketjuyhteyttä.
6. Käytä Microsoft Defender for SmartScreen -toimintoa – Tämä työkalu auttaa estämään haitalliset verkkosivut alkuperäisessä pääsyvaiheessa ja estää käyttäjää näkemästä väärennettyä CAPTCHA-kehotteita .

Havaitseminen ja kattavuus

Vaikka Microsoftin julkinen tiedote ei antanut tyhjentävää listaa tiettyjä Microsoft Defender Antiviruksen havaitsemisnimiä tälle kampanjalle , heinä- ja elokuun 2026 turvallisuustutkimus osoittaa, että Microsoft Defender for Endpoint tarjoaa käyttäytymisperusteista kattavuutta :

• Living-off-the-land -suorituskuvioita
• Epäilyttävää WebDAV- ja MSHTA-aktiivisuutta
• Hämärrettyä PowerShell-suoritusta
• Ajoitetun tehtävän pysyvyyttä
• Muistin sisäistä sisällön suoritusta
• Selainten tunnistetietojen varkauksia

Microsoftin 5. elokuuta 2026 julkaisema macOS ClickFix -blogi dokumentoi, että Microsoft Defender for SmartScreen estää haitallisen verkkosivun, ja Defender XDR tarjoaa pintakattavuutta tiettyjen taktiikka- ja tekniikkakartoitusten alla . Microsoft Defender Virustorjunnan havaitsemiset laajemmalle ClickFix-uhkaperheelle sisältävät nimiä, kuten Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ja Trojan:HTML/FakeCaptcha , vaikka tämän kampanjan BNB Chain -kohtaisille JavaScript-injektioille on otettu käyttöön tiettyjä allekirjoituksia, joita ei erikseen nimetty julkisessa varoituksessa .

Kuinka hyökkäys toimii: EtherHiding-tekniikka

Keskeinen innovaatio – ja syy, miksi tätä kampanjaa on niin vaikea häiritä – on EtherHiding-tekniikka. Sen sijaan, että hyökkääjät luottaisivat perinteiseen komento- ja ohjauspalvelimeen, joka voidaan ottaa pois käytöstä, he tallentavat haitalliset ohjeet suoraan BNB Smart Chainin älysopimuksiin . Koska vain älysopimuksen luoneen lompakon osoite voi muokata sen sisältöä, perinteisten alasotto- tai estomenetelmien avulla haitallisten ohjeiden poistaminen on käytännössä mahdotonta . Tämä kampanja liittyy ClearFake-haittaohjelmaoperaatioon, joka käytti aiemmin väärennettyjä selaimen päivityskehotteita haittaohjelmien levittämiseen .

Infektioketju: Vaarannetusta verkkosivustosta haittaohjelmaan

Hyökkäys etenee lyhyessä vaihesarjassa, joka käyttää hyväksi käyttäjän luottamusta ja Windowsin sisäänrakennettuja työkaluja:

1. Verkkosivuston vaarantaminen – Hyökkääjät vaarantavat laillisia verkkosivustoja (usein WordPress-sivustoja) ja upottavat Base64-koodattua JavaScriptiä sivulle .
2. Lohkoketjukysely – Upotettu skripti yhdistää BNB Smart Chainin RPC-yhdyskäytävään ja kysyy tiettyä älysopimusta hakeakseen seuraavan vaiheen haitalliset ohjeet .
3. Väärennetty CAPTCHA – Selain purkaa haettujen ohjeiden koodauksen ja näyttää käyttäjälle väärennetyn CAPTCHA-vahvistusnäytön .
4. Sosiaalinen manipulointi (ClickFix/TerminalFix) – Käyttäjää ohjataan painamaan Windows+R avatakseen Suorita-valintaikkunan (tai avaamaan Windows Terminalin tai PowerShellin), liittämään leikepöydältä löytyvä komento ja suorittamaan se . Tämä on keskeinen sosiaalisen manipuloinnin temppu: se tekee uhrista tahtomattaan osallisen infektiossa.
5. Haittaohjelman suoritus – Liitetty komento lataa ja suorittaa lopullisen haittaohjelmasisällön .

Väärinkäytetyt Windows-työkalut (Living-off-the-Land)

Välttääkseen havaitsemisen hyökkääjät käyttävät laajasti hyväkseen laillisia, Windowsin sisäänrakennettuja komponentteja – tekniikka tunnetaan nimellä "living-off-the-land" (LOLBins) . Tässä kampanjassa havaitut työkalut ovat:

• conhost – Konsoliohjain, jota käytetään komentojen suorittamiseen
• PowerShell – Skriptien suorittaminen ja sisältöjen lataaminen
• cmd (Command Prompt) – Suora komentojen suorittaminen
• mshta – Haitallisten HTA-tiedostojen suorittaminen
• rundll32 – DLL-tiedostojen lataaminen komentorivin kautta
• curl – Seuraavan vaiheen sisältöjen lataaminen
• WMI (Windows Management Instrumentation) – Sivuttaisliikennettä tai pysyvyyttä varten
• Windowsin Suorita-valintaikkuna – Alkuperäinen suorituspiste ClickFix-houkutuksen mukaisesti

Käyttämällä näitä luotettuja Microsoft-komponentteja hyökkääjät voivat ohittaa monia perinteisiä päätepistesuojauksia .

Toimitetut haittaohjelmaperheet

Tämä kampanja ei rajoitu yksittäiseen haittaohjelmaan. Se toimii jakelumekanismina useille tietoja varastaville ja etäkäyttötroijalaisille :

• Lumma Stealer – Ensisijainen sisältö, joka on havaittu monissa tapauksissa . Se kerää selaimen salasanoja, kryptovaluuttalompakoiden tunnistetietoja, istuntoevästeitä ja muita arkaluonteisia tietoja.
• XWorm (Xworm) – Etäkäyttötroijalainen (RAT), joka pystyy varastamaan tietoja ja lataamaan lisää haittaohjelmia.
• AsyncRAT – Avoimen lähdekoodin RAT, jota käytetään valvontaan, näppäinten tallentamiseen ja tunnistetietojen varkauksiin.
• MintsLoader – Lataaja/lataaja, joka asentaa lisää haittaohjelmia vaarannettuun järjestelmään.
• Etähallintatyökalut – Mahdollisesti väärinkäytetyt lailliset työkalut (esim. AnyDesk, näytönjakosoftware) pysyvyyttä ja sivuttaisliikennettä varten.

Onnistunut suoritus voi johtaa tunnistetietojen altistumiseen, pysyvän pääsyn saamiseen, sivuttaisliikenteeseen verkossa ja mahdolliseen kiristysohjelman käyttöönottoon . macOS-järjestelmissä kampanjan on havaittu toimittavan myös MacSync- ja Atomic Stealer -haittaohjelmia .

Microsoftin suosittelemat suojautumistoimenpiteet

Microsoft on antanut useita käytännön suosituksia tätä kampanjaa vastaan suojautumiseksi :

1. Ota käyttöön monikerroksinen suojaus Microsoft Defenderissä – Varmista, että reaaliaikainen suojaus, pilvipohjainen suojaus ja peukalointisuojaus ovat kaikki käytössä.
2. Rajoita komentorivityökaluja – Käytä AppLocker- tai Windows Defender Application Control (WDAC) -ohjelmaa estämään epäluotettujen työkalujen, kuten PowerShellin, mshta:n ja rundll32:n, suorittaminen.
3. Ota PowerShell-skriptilokitus käyttöön – Ota käyttöön skriptilohkolokitus ja transkriptio, jotta voit havaita hämärrettyjen komentojen suoritusyritykset.
4. Käyttäjän tietoisuus (kriittisin vaihe) – Älä koskaan liitä komentoja tuntemattomista tai vahvistamattomista lähteistä Suorita-valintaikkunaan, Terminaaliin tai PowerShelliin. Laillinen CAPTCHA ei koskaan kehota käyttäjää suorittamaan mitään näistä toiminnoista.
5. Estä älysopimusten RPC-päätepisteet – Mahdollisuuksien mukaan rajoita lähtevää pääsyä julkisiin BNB Smart Chainin RPC-yhdyskäytäviin päätepisteistä, jotka eivät tarvitse lohkoketjuyhteyttä.
6. Käytä Microsoft Defender for SmartScreen -toimintoa – Tämä työkalu auttaa estämään haitalliset verkkosivut alkuperäisessä pääsyvaiheessa ja estää käyttäjää näkemästä väärennettyä CAPTCHA-kehotteita .

Havaitseminen ja kattavuus

Vaikka Microsoftin julkinen tiedote ei antanut tyhjentävää listaa tiettyjä Microsoft Defender Antiviruksen havaitsemisnimiä tälle kampanjalle , heinä- ja elokuun 2026 turvallisuustutkimus osoittaa, että Microsoft Defender for Endpoint tarjoaa käyttäytymisperusteista kattavuutta :

• Living-off-the-land -suorituskuvioita
• Epäilyttävää WebDAV- ja MSHTA-aktiivisuutta
• Hämärrettyä PowerShell-suoritusta
• Ajoitetun tehtävän pysyvyyttä
• Muistin sisäistä sisällön suoritusta
• Selainten tunnistetietojen varkauksia

Microsoftin 5. elokuuta 2026 julkaisema macOS ClickFix -blogi dokumentoi, että Microsoft Defender for SmartScreen estää haitallisen verkkosivun, ja Defender XDR tarjoaa pintakattavuutta tiettyjen taktiikka- ja tekniikkakartoitusten alla . Microsoft Defender Virustorjunnan havaitsemiset laajemmalle ClickFix-uhkaperheelle sisältävät nimiä, kuten Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ja Trojan:HTML/FakeCaptcha , vaikka tämän kampanjan BNB Chain -kohtaisille JavaScript-injektioille on otettu käyttöön tiettyjä allekirjoituksia, joita ei erikseen nimetty julkisessa varoituksessa .