Come funziona l'attacco: la tecnica EtherHiding

L'innovazione chiave—e la ragione per cui questa campagna è così difficile da contrastare—è la tecnica EtherHiding. Invece di fare affidamento su un server di comando e controllo tradizionale che può essere messo offline, gli aggressori archiviano le istruzioni malevole direttamente all'interno degli smart contract di BNB Smart Chain . Poiché solo l'indirizzo del portafoglio che ha distribuito il contratto può modificarne il contenuto, rimuovere le istruzioni malevole con i tradizionali metodi di rimozione o blocco è virtualmente impossibile . Questa campagna si sovrappone all'operazione malware ClearFake, che in precedenza utilizzava falsi prompt di aggiornamento del browser per distribuire malware .

La catena di infezione: dal sito web compromesso al malware

L'attacco si sviluppa in una sequenza di passaggi relativamente breve che sfrutta la fiducia dell'utente e gli strumenti nativi di Windows:

1. Compromissione del sito web – Gli aggressori compromettono siti web legittimi (spesso basati su WordPress) e iniettano JavaScript codificato in Base64 nella pagina .
2. Interrogazione della blockchain – Lo script iniettato si connette a un gateway RPC di BNB Smart Chain e interroga uno smart contract specifico per recuperare le successive istruzioni malevole .
3. Falso CAPTCHA – Il browser decodifica le istruzioni ricevute e mostra all'utente una schermata di verifica CAPTCHA contraffatta .
4. Ingegneria sociale (ClickFix/TerminalFix) – All'utente viene chiesto di premere Windows+R per aprire la finestra "Esegui" di Windows (oppure aprire Windows Terminal o PowerShell), incollare il comando che è stato copiato automaticamente negli appunti ed eseguirlo . Questo è il trucco principale di ingegneria sociale: rende la vittima un partecipante involontario dell'infezione.
5. Esecuzione del malware – Il comando incollato scarica ed esegue il payload malware finale .

Strumenti Windows abusati (Living-off-the-Land)

Per evitare il rilevamento, gli aggressori abusano estesamente di componenti Windows legittimi e integrati—una tecnica nota come "living-off-the-land" (LOLBins) . Gli strumenti osservati in questa campagna includono:

• conhost – Host della console utilizzato per l'esecuzione dei comandi
• PowerShell – Esecuzione di script e download di payload
• cmd (Prompt dei comandi) – Esecuzione diretta di comandi
• mshta – Esecuzione di file HTA malevoli
• rundll32 – Caricamento di DLL tramite riga di comando
• curl – Download di payload di stage successivi
• WMI (Strumentazione gestione Windows) – Per movimento laterale o persistenza
• Finestra "Esegui" di Windows – Il punto di esecuzione iniziale secondo il trucco ClickFix

Utilizzando questi componenti Microsoft fidati, gli aggressori possono bypassare molte difese endpoint tradizionali .

Famiglie di malware distribuite

Questa campagna non si limita a un singolo tipo di malware. Funge da meccanismo di consegna per una serie di trojan per il furto di informazioni e l'accesso remoto :

• Lumma Stealer – Il payload principale osservato in molti casi . Raccoglie password del browser, credenziali di portafogli di criptovalute, cookie di sessione e altri dati sensibili.
• XWorm (Xworm) – Un trojan per accesso remoto (RAT) capace di rubare dati e scaricare payload aggiuntivi.
• AsyncRAT – Un RAT open-source utilizzato per sorveglianza, keylogging e furto di credenziali.
• MintsLoader – Un downloader/loader che installa malware aggiuntivo sul sistema compromesso.
• Strumenti di amministrazione remota – Potenzialmente strumenti legittimi abusati (es. AnyDesk, software di condivisione schermo) per persistenza e movimento laterale.

Un'esecuzione riuscita può portare all'esposizione delle credenziali, all'instaurazione di un accesso persistente, al movimento laterale all'interno di una rete e, infine, alla distribuzione di ransomware . Sui sistemi macOS, la campagna ha anche distribuito MacSync e Atomic Stealer .

Misure difensive raccomandate da Microsoft

Microsoft ha emesso diverse raccomandazioni pratiche per proteggersi da questa campagna :

1. Abilitare la protezione multilivello in Microsoft Defender – Assicurarsi che la protezione in tempo reale, la protezione basata sul cloud e la protezione anti-manomissione siano tutte attive.
2. Limitare gli strumenti da riga di comando – Utilizzare AppLocker o Windows Defender Application Control (WDAC) per bloccare l'esecuzione non attendibile di strumenti come PowerShell, mshta e rundll32.
3. Abilitare la registrazione degli script PowerShell – Attivare la registrazione dei blocchi di script e la trascrizione per rilevare tentativi di esecuzione di comandi offuscati.
4. Consapevolezza dell'utente (il passo più critico) – Non incollare mai comandi da fonti sconosciute o non verificate nella finestra "Esegui", in Terminale o PowerShell. Un CAPTCHA legittimo non richiederà mai all'utente di eseguire nessuna di queste azioni.
5. Bloccare gli endpoint RPC degli smart contract – Ove fattibile, limitare l'accesso in uscita ai gateway RPC pubblici di BNB Smart Chain dagli endpoint che non necessitano di accesso alla blockchain.
6. Utilizzare Microsoft Defender per SmartScreen – Questo strumento aiuta a bloccare le pagine web malevole nella fase di accesso iniziale, impedendo all'utente di vedere il falso CAPTCHA .

Rilevamento e copertura

Sebbene l'avviso pubblico di Microsoft non abbia fornito un elenco esaustivo di nomi di rilevamento specifici di Microsoft Defender Antivirus per questa particolare campagna , ricerche di sicurezza correlate di luglio e agosto 2026 indicano che Microsoft Defender per Endpoint fornisce copertura comportamentale per :

• Modelli di esecuzione living-off-the-land
• Attività sospette su WebDAV e MSHTA
• Esecuzione di PowerShell offuscato
• Persistenza tramite attività pianificate
• Esecuzione di payload in memoria
• Furto di credenziali del browser

Il blog di Microsoft sul ClickFix per macOS, pubblicato il 5 agosto 2026, ha documentato che Microsoft Defender per SmartScreen blocca la pagina web malevola e che Defender XDR fornisce copertura superficiale sotto specifici mapping di tattiche e tecniche . I rilevamenti di Microsoft Defender Antivirus per la più ampia famiglia di minacce ClickFix includono nomi come Behavior:Win32/ClickFix, Trojan:Win32/ClickFix e Trojan:HTML/FakeCaptcha , sebbene firme specifiche per le iniezioni JavaScript legate a BNB Chain di questa campagna siano state distribuite ma non siano state nominate individualmente nell'avviso pubblico .

Come funziona l'attacco: la tecnica EtherHiding

L'innovazione chiave—e la ragione per cui questa campagna è così difficile da contrastare—è la tecnica EtherHiding. Invece di fare affidamento su un server di comando e controllo tradizionale che può essere messo offline, gli aggressori archiviano le istruzioni malevole direttamente all'interno degli smart contract di BNB Smart Chain . Poiché solo l'indirizzo del portafoglio che ha distribuito il contratto può modificarne il contenuto, rimuovere le istruzioni malevole con i tradizionali metodi di rimozione o blocco è virtualmente impossibile . Questa campagna si sovrappone all'operazione malware ClearFake, che in precedenza utilizzava falsi prompt di aggiornamento del browser per distribuire malware .

La catena di infezione: dal sito web compromesso al malware

L'attacco si sviluppa in una sequenza di passaggi relativamente breve che sfrutta la fiducia dell'utente e gli strumenti nativi di Windows:

1. Compromissione del sito web – Gli aggressori compromettono siti web legittimi (spesso basati su WordPress) e iniettano JavaScript codificato in Base64 nella pagina .
2. Interrogazione della blockchain – Lo script iniettato si connette a un gateway RPC di BNB Smart Chain e interroga uno smart contract specifico per recuperare le successive istruzioni malevole .
3. Falso CAPTCHA – Il browser decodifica le istruzioni ricevute e mostra all'utente una schermata di verifica CAPTCHA contraffatta .
4. Ingegneria sociale (ClickFix/TerminalFix) – All'utente viene chiesto di premere Windows+R per aprire la finestra "Esegui" di Windows (oppure aprire Windows Terminal o PowerShell), incollare il comando che è stato copiato automaticamente negli appunti ed eseguirlo . Questo è il trucco principale di ingegneria sociale: rende la vittima un partecipante involontario dell'infezione.
5. Esecuzione del malware – Il comando incollato scarica ed esegue il payload malware finale .

Strumenti Windows abusati (Living-off-the-Land)

Per evitare il rilevamento, gli aggressori abusano estesamente di componenti Windows legittimi e integrati—una tecnica nota come "living-off-the-land" (LOLBins) . Gli strumenti osservati in questa campagna includono:

• conhost – Host della console utilizzato per l'esecuzione dei comandi
• PowerShell – Esecuzione di script e download di payload
• cmd (Prompt dei comandi) – Esecuzione diretta di comandi
• mshta – Esecuzione di file HTA malevoli
• rundll32 – Caricamento di DLL tramite riga di comando
• curl – Download di payload di stage successivi
• WMI (Strumentazione gestione Windows) – Per movimento laterale o persistenza
• Finestra "Esegui" di Windows – Il punto di esecuzione iniziale secondo il trucco ClickFix

Utilizzando questi componenti Microsoft fidati, gli aggressori possono bypassare molte difese endpoint tradizionali .

Famiglie di malware distribuite

Questa campagna non si limita a un singolo tipo di malware. Funge da meccanismo di consegna per una serie di trojan per il furto di informazioni e l'accesso remoto :

• Lumma Stealer – Il payload principale osservato in molti casi . Raccoglie password del browser, credenziali di portafogli di criptovalute, cookie di sessione e altri dati sensibili.
• XWorm (Xworm) – Un trojan per accesso remoto (RAT) capace di rubare dati e scaricare payload aggiuntivi.
• AsyncRAT – Un RAT open-source utilizzato per sorveglianza, keylogging e furto di credenziali.
• MintsLoader – Un downloader/loader che installa malware aggiuntivo sul sistema compromesso.
• Strumenti di amministrazione remota – Potenzialmente strumenti legittimi abusati (es. AnyDesk, software di condivisione schermo) per persistenza e movimento laterale.

Un'esecuzione riuscita può portare all'esposizione delle credenziali, all'instaurazione di un accesso persistente, al movimento laterale all'interno di una rete e, infine, alla distribuzione di ransomware . Sui sistemi macOS, la campagna ha anche distribuito MacSync e Atomic Stealer .

Misure difensive raccomandate da Microsoft

Microsoft ha emesso diverse raccomandazioni pratiche per proteggersi da questa campagna :

1. Abilitare la protezione multilivello in Microsoft Defender – Assicurarsi che la protezione in tempo reale, la protezione basata sul cloud e la protezione anti-manomissione siano tutte attive.
2. Limitare gli strumenti da riga di comando – Utilizzare AppLocker o Windows Defender Application Control (WDAC) per bloccare l'esecuzione non attendibile di strumenti come PowerShell, mshta e rundll32.
3. Abilitare la registrazione degli script PowerShell – Attivare la registrazione dei blocchi di script e la trascrizione per rilevare tentativi di esecuzione di comandi offuscati.
4. Consapevolezza dell'utente (il passo più critico) – Non incollare mai comandi da fonti sconosciute o non verificate nella finestra "Esegui", in Terminale o PowerShell. Un CAPTCHA legittimo non richiederà mai all'utente di eseguire nessuna di queste azioni.
5. Bloccare gli endpoint RPC degli smart contract – Ove fattibile, limitare l'accesso in uscita ai gateway RPC pubblici di BNB Smart Chain dagli endpoint che non necessitano di accesso alla blockchain.
6. Utilizzare Microsoft Defender per SmartScreen – Questo strumento aiuta a bloccare le pagine web malevole nella fase di accesso iniziale, impedendo all'utente di vedere il falso CAPTCHA .

Rilevamento e copertura

Sebbene l'avviso pubblico di Microsoft non abbia fornito un elenco esaustivo di nomi di rilevamento specifici di Microsoft Defender Antivirus per questa particolare campagna , ricerche di sicurezza correlate di luglio e agosto 2026 indicano che Microsoft Defender per Endpoint fornisce copertura comportamentale per :

• Modelli di esecuzione living-off-the-land
• Attività sospette su WebDAV e MSHTA
• Esecuzione di PowerShell offuscato
• Persistenza tramite attività pianificate
• Esecuzione di payload in memoria
• Furto di credenziali del browser

Il blog di Microsoft sul ClickFix per macOS, pubblicato il 5 agosto 2026, ha documentato che Microsoft Defender per SmartScreen blocca la pagina web malevola e che Defender XDR fornisce copertura superficiale sotto specifici mapping di tattiche e tecniche . I rilevamenti di Microsoft Defender Antivirus per la più ampia famiglia di minacce ClickFix includono nomi come Behavior:Win32/ClickFix, Trojan:Win32/ClickFix e Trojan:HTML/FakeCaptcha , sebbene firme specifiche per le iniezioni JavaScript legate a BNB Chain di questa campagna siano state distribuite ma non siano state nominate individualmente nell'avviso pubblico .