איך זה עובד: טכניקת EtherHiding

החידוש המרכזי – והסיבה שקשה כל כך לסכל מסע פרסום זה – הוא טכניקת EtherHiding. במקום להסתמך על שרת פיקוד ושליטה מסורתי שניתן להוריד, התוקפים מאחסנים את הוראות המטען הזדוני בתוך חוזי חכם ברשת BNB Smart Chain . מכיוון שרק כתובת הארנק שפרסה את החוזה יכולה לשנות את תוכנו, אין דרך מעשית להסיר את ההוראות הזדוניות בשיטות מסורתיות של חסימה או הסרה . מסע פרסום זה חופף לפעולת ClearFake, שהשתמשה בעבר בהתראות עדכון דפדפן מזויפות להפצת תוכנות זדוניות .

שרשרת ההדבקה: מאתר שנפרץ לתוכנה זדונית

ההתקפה מתבצעת בסדרת צעדים קצרה יחסית המנצלת את אמון המשתמש וכלי Windows מובנים:

1. פריצת אתרים – התוקפים פורצים לאתרים לגיטימיים (לעיתים קרובות אתרי וורדפרס) ומטמיעים בהם JavaScript מקודד ב-Base64 .
2. פנייה לבלוקצ'יין – הסקריפט המוטמע מתחבר ל-שער RPC של BNB Smart Chain ושולף הוראות מהחוזה החכם .
3. CAPTCHA מזויפת – הדפדפן מפענח את ההוראות ומציג למשתמש מסך אימות CAPTCHA מזויף .
4. הנדסה חברתית (ClickFix/TerminalFix) – המשתמש מונחה ללחוץ על Windows+R (פתיחת תיבת הדו-שיח 'הפעלה'), לפתוח את Windows Terminal או PowerShell, להדביק פקודה שהועתקה אוטומטית ללוח, ולהריץ אותה . זהו הטריק המרכזי: הקורבן הופך להיות שותף פעיל בתהליך ההדבקה.
5. ביצוע התוכנה הזדונית – הפקודה שהודבקה מורידה ומפעילה את המטען הזדוני .

כלי Windows מנוצלים (Living-off-the-Land)

כדי להתחמק מגילוי, התוקפים מנצלים בהרחבה רכיבי Windows חוקיים ומובנים – טכניקה המכונה "living-off-the-land" (LOLBins) . הכלים שזוהו במסע פרסום זה כוללים:

• conhost – מארח קונסולה לביצוע פקודות
• PowerShell – ביצוע סקריפטים והורדת מטענים
• cmd (שורת הפקודה) – ביצוע ישיר של פקודות
• mshta – הרצת קבצי HTA זדוניים
• rundll32 – טעינת DLL דרך שורת הפקודה
• curl – הורדת מטענים בשלב הבא
• WMI (Windows Management Instrumentation) – תנועה רוחבית או התמדה
• תיבת הדו-שיח 'הפעלה' של Windows – נקודת ההפעלה הראשונית לפי פיתיון ClickFix

באמצעות שימוש ברכיבי מיקרוסופט מהימנים אלה, התוקפים יכולים לעקוף הגנות קצה רבות .

משפחות התוכנות הזדוניות המופצות

מסע פרסום זה אינו מוגבל לתוכנה זדונית אחת. הוא משמש כמנגנון הפצה למגוון גונבי מידע וטרוג'נים לגישה מרחוק :

• Lumma Stealer – המטען העיקרי שנצפה במקרים רבים . הוא גונב סיסמאות דפדפן, פרטי ארנקי קריפטו, עוגיות הפעלה ומידע רגיש אחר.
• XWorm – טרויאני לגישה מרחוק (RAT) המסוגל לגנוב מידע ולהוריד מטענים נוספים.
• AsyncRAT – RAT בקוד פתוח המשמש למעקב, הקלדת מקשים וגניבת פרטי כניסה.
• MintsLoader – מוריד/מטעין שמתקין תוכנות זדוניות נוספות במערכת המפרוצה.
• כלי ניהול מרחוק – כלים לגיטימיים (כמו AnyDesk או תוכנות שיתוף מסך) שעלולים להיות מנוצלים לצורך התמדה ותנועה רוחבית.

ביצוע מוצלח של ההתקפה עלול להוביל לחשיפת פרטי כניסה, יצירת גישה מתמדת, תנועה רוחבית ברשת, ובסופו של דבר להתקפת כופר . במערכות macOS, זוהו גם משלוחים של MacSync ו-Atomic Stealer .

אמצעי ההגנה שמיקרוסופט ממליצה עליהם

מיקרוסופט פרסמה מספר המלצות מעשיות להגנה מפני מסע פרסום זה :

1. הפעילו הגנה רב-שכבתית ב-Microsoft Defender – ודאו שהגנה בזמן אמת, הגנה מבוססת ענן והגנת Tamper Protection פועלות.
2. הגבילו כלי שורת פקודה – השתמשו ב-AppLocker או ב-Windows Defender Application Control (WDAC) כדי לחסום הרצה לא מאומתת של כלים כמו PowerShell, mshta ו-rundll32.
3. הפעילו רישום סקריפטים של PowerShell – הפעילו רישום בלוקים של סקריפטים ותעתיק כדי לזהות ניסיונות הרצת פקודות מוסתרות.
4. העלאת מודעות משתמשים (הצעד הקריטי ביותר) – לעולם אל תדביקו פקודות ממקורות לא ידועים או לא מאומתים בתיבת הדו-שיח 'הפעלה', Terminal או PowerShell. CAPTCHA לגיטימית לעולם לא תורה למשתמש לבצע פעולות כאלה.
5. חסימת נקודות קצה של RPC של חוזים חכמים – במידת האפשר, הגבילו גישה יוצאת לשערי RPC ציבוריים של BNB Smart Chain מנקודות קצה שאינן זקוקות לגישה לבלוקצ'יין.
6. השתמשו ב-Microsoft Defender for SmartScreen – כלי זה עוזר לחסום דפי אינטרנט זדוניים בשלב הגישה הראשוני, ומונע מהמשתמש להגיע ל-CAPTCHA המזויפת .

זיהוי וכיסוי

למרות שהאזהרה הפומבית של מיקרוסופט לא כללה רשימה מפורטת של שמות זיהוי ספציפיים של Microsoft Defender Antivirus למסע פרסום זה , מחקרי אבטחה קשורים מיולי ואוגוסט 2026 מצביעים על כך ש-Microsoft Defender for Endpoint מספק כיסוי התנהגותי עבור:

• דפוסי הרצת living-off-the-land
• פעילות חשודה של WebDAV ו-MSHTA
• הרצת PowerShell מוסתרת
• התמדה באמצעות משימות מתוזמנות
• הרצת מטענים בזיכרון
• גניבת פרטי כניסה מהדפדפן

הבלוג של מיקרוסופט על ClickFix ב-macOS מ-5 באוגוסט 2026 תיעד כי Microsoft Defender for SmartScreen חוסם את הדף הזדוני, ו-Defender XDR מספק כיסוי תחת מיפויי טקטיקה וטכניקה ספציפיים . זיהויי Microsoft Defender Antivirus למשפחת האיומים הרחבה יותר של ClickFix כוללים שמות כמו Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ו-Trojan:HTML/FakeCaptcha , אך חתימות ספציפיות להזרקות JavaScript הקשורות ל-BNB Chain במסע פרסום זה נפרסו אך לא נמסרו בשמן באזהרה הפומבית .

איך זה עובד: טכניקת EtherHiding

החידוש המרכזי – והסיבה שקשה כל כך לסכל מסע פרסום זה – הוא טכניקת EtherHiding. במקום להסתמך על שרת פיקוד ושליטה מסורתי שניתן להוריד, התוקפים מאחסנים את הוראות המטען הזדוני בתוך חוזי חכם ברשת BNB Smart Chain . מכיוון שרק כתובת הארנק שפרסה את החוזה יכולה לשנות את תוכנו, אין דרך מעשית להסיר את ההוראות הזדוניות בשיטות מסורתיות של חסימה או הסרה . מסע פרסום זה חופף לפעולת ClearFake, שהשתמשה בעבר בהתראות עדכון דפדפן מזויפות להפצת תוכנות זדוניות .

שרשרת ההדבקה: מאתר שנפרץ לתוכנה זדונית

ההתקפה מתבצעת בסדרת צעדים קצרה יחסית המנצלת את אמון המשתמש וכלי Windows מובנים:

1. פריצת אתרים – התוקפים פורצים לאתרים לגיטימיים (לעיתים קרובות אתרי וורדפרס) ומטמיעים בהם JavaScript מקודד ב-Base64 .
2. פנייה לבלוקצ'יין – הסקריפט המוטמע מתחבר ל-שער RPC של BNB Smart Chain ושולף הוראות מהחוזה החכם .
3. CAPTCHA מזויפת – הדפדפן מפענח את ההוראות ומציג למשתמש מסך אימות CAPTCHA מזויף .
4. הנדסה חברתית (ClickFix/TerminalFix) – המשתמש מונחה ללחוץ על Windows+R (פתיחת תיבת הדו-שיח 'הפעלה'), לפתוח את Windows Terminal או PowerShell, להדביק פקודה שהועתקה אוטומטית ללוח, ולהריץ אותה . זהו הטריק המרכזי: הקורבן הופך להיות שותף פעיל בתהליך ההדבקה.
5. ביצוע התוכנה הזדונית – הפקודה שהודבקה מורידה ומפעילה את המטען הזדוני .

כלי Windows מנוצלים (Living-off-the-Land)

כדי להתחמק מגילוי, התוקפים מנצלים בהרחבה רכיבי Windows חוקיים ומובנים – טכניקה המכונה "living-off-the-land" (LOLBins) . הכלים שזוהו במסע פרסום זה כוללים:

• conhost – מארח קונסולה לביצוע פקודות
• PowerShell – ביצוע סקריפטים והורדת מטענים
• cmd (שורת הפקודה) – ביצוע ישיר של פקודות
• mshta – הרצת קבצי HTA זדוניים
• rundll32 – טעינת DLL דרך שורת הפקודה
• curl – הורדת מטענים בשלב הבא
• WMI (Windows Management Instrumentation) – תנועה רוחבית או התמדה
• תיבת הדו-שיח 'הפעלה' של Windows – נקודת ההפעלה הראשונית לפי פיתיון ClickFix

באמצעות שימוש ברכיבי מיקרוסופט מהימנים אלה, התוקפים יכולים לעקוף הגנות קצה רבות .

משפחות התוכנות הזדוניות המופצות

מסע פרסום זה אינו מוגבל לתוכנה זדונית אחת. הוא משמש כמנגנון הפצה למגוון גונבי מידע וטרוג'נים לגישה מרחוק :

• Lumma Stealer – המטען העיקרי שנצפה במקרים רבים . הוא גונב סיסמאות דפדפן, פרטי ארנקי קריפטו, עוגיות הפעלה ומידע רגיש אחר.
• XWorm – טרויאני לגישה מרחוק (RAT) המסוגל לגנוב מידע ולהוריד מטענים נוספים.
• AsyncRAT – RAT בקוד פתוח המשמש למעקב, הקלדת מקשים וגניבת פרטי כניסה.
• MintsLoader – מוריד/מטעין שמתקין תוכנות זדוניות נוספות במערכת המפרוצה.
• כלי ניהול מרחוק – כלים לגיטימיים (כמו AnyDesk או תוכנות שיתוף מסך) שעלולים להיות מנוצלים לצורך התמדה ותנועה רוחבית.

ביצוע מוצלח של ההתקפה עלול להוביל לחשיפת פרטי כניסה, יצירת גישה מתמדת, תנועה רוחבית ברשת, ובסופו של דבר להתקפת כופר . במערכות macOS, זוהו גם משלוחים של MacSync ו-Atomic Stealer .

אמצעי ההגנה שמיקרוסופט ממליצה עליהם

מיקרוסופט פרסמה מספר המלצות מעשיות להגנה מפני מסע פרסום זה :

1. הפעילו הגנה רב-שכבתית ב-Microsoft Defender – ודאו שהגנה בזמן אמת, הגנה מבוססת ענן והגנת Tamper Protection פועלות.
2. הגבילו כלי שורת פקודה – השתמשו ב-AppLocker או ב-Windows Defender Application Control (WDAC) כדי לחסום הרצה לא מאומתת של כלים כמו PowerShell, mshta ו-rundll32.
3. הפעילו רישום סקריפטים של PowerShell – הפעילו רישום בלוקים של סקריפטים ותעתיק כדי לזהות ניסיונות הרצת פקודות מוסתרות.
4. העלאת מודעות משתמשים (הצעד הקריטי ביותר) – לעולם אל תדביקו פקודות ממקורות לא ידועים או לא מאומתים בתיבת הדו-שיח 'הפעלה', Terminal או PowerShell. CAPTCHA לגיטימית לעולם לא תורה למשתמש לבצע פעולות כאלה.
5. חסימת נקודות קצה של RPC של חוזים חכמים – במידת האפשר, הגבילו גישה יוצאת לשערי RPC ציבוריים של BNB Smart Chain מנקודות קצה שאינן זקוקות לגישה לבלוקצ'יין.
6. השתמשו ב-Microsoft Defender for SmartScreen – כלי זה עוזר לחסום דפי אינטרנט זדוניים בשלב הגישה הראשוני, ומונע מהמשתמש להגיע ל-CAPTCHA המזויפת .

זיהוי וכיסוי

למרות שהאזהרה הפומבית של מיקרוסופט לא כללה רשימה מפורטת של שמות זיהוי ספציפיים של Microsoft Defender Antivirus למסע פרסום זה , מחקרי אבטחה קשורים מיולי ואוגוסט 2026 מצביעים על כך ש-Microsoft Defender for Endpoint מספק כיסוי התנהגותי עבור:

• דפוסי הרצת living-off-the-land
• פעילות חשודה של WebDAV ו-MSHTA
• הרצת PowerShell מוסתרת
• התמדה באמצעות משימות מתוזמנות
• הרצת מטענים בזיכרון
• גניבת פרטי כניסה מהדפדפן

הבלוג של מיקרוסופט על ClickFix ב-macOS מ-5 באוגוסט 2026 תיעד כי Microsoft Defender for SmartScreen חוסם את הדף הזדוני, ו-Defender XDR מספק כיסוי תחת מיפויי טקטיקה וטכניקה ספציפיים . זיהויי Microsoft Defender Antivirus למשפחת האיומים הרחבה יותר של ClickFix כוללים שמות כמו Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ו-Trojan:HTML/FakeCaptcha , אך חתימות ספציפיות להזרקות JavaScript הקשורות ל-BNB Chain במסע פרסום זה נפרסו אך לא נמסרו בשמן באזהרה הפומבית .