Cara Serangan Berfungsi: Teknik EtherHiding

Inovasi utama—dan sebab kempen ini sukar diganggu—ialah teknik EtherHiding. Daripada bergantung pada pelayan arahan-dan-kawalan (C2) tradisional yang boleh ditutup, penyerang menyimpan arahan muatan jahat terus di dalam smart contract BNB Smart Chain . Memandangkan hanya alamat wallet yang menggunakan kontrak boleh mengubah suai kandungannya, mengalih keluar arahan jahat melalui kaedah sekatan atau ambil alih tradisional hampir mustahil . Serangan ini bertindih dengan operasi malware ClearFake yang sebelum ini menggunakan gesaan kemas kini penyemak imbas palsu untuk menyebarkan malware .

Rantaian Jangkitan: Dari Laman Web Terjejas ke Malware

Serangan berlaku dalam urutan langkah pendek yang mengeksploitasi kepercayaan pengguna dan alat Windows terbina dalam:

1. Kompromi Laman Web – Penyerang menjejaskan laman web yang sah (sering laman WordPress) dan menyuntik JavaScript berkod Base64 ke dalam halaman .
2. Pertanyaan Blockchain – Skrip yang disuntik berhubung dengan pintu masuk RPC BNB Smart Chain dan membuat pertanyaan kepada smart contract tertentu untuk mendapatkan arahan jahat seterusnya .
3. CAPTCHA Palsu – Penyemak imbas mentafsir arahan yang diperoleh dan memaparkan skrin pengesahan CAPTCHA palsu kepada pengguna .
4. Kejuruteraan Sosial (ClickFix/TerminalFix) – Pengguna dipandu untuk menekan Windows+R bagi membuka dialog Run (atau buka Windows Terminal atau PowerShell), tampal arahan dari papan klip, dan laksanakannya . Ini adalah helah kejuruteraan sosial utama: ia menjadikan mangsa peserta yang tidak sedar dalam jangkitan.
5. Pelaksanaan Malware – Arahan yang ditampal memuat turun dan melaksanakan muatan akhir malware .

Alat Windows yang Disalahgunakan (Living-off-the-Land)

Untuk mengelak pengesanan, penyerang menyalahgunakan komponen Windows yang sah—teknik yang dikenali sebagai "living-off-the-land" (LOLBins) . Alat yang diperhatikan dalam kempen ini termasuk:

• conhost – Hos konsol digunakan untuk pelaksanaan arahan
• PowerShell – Pelaksanaan skrip dan muat turun muatan
• cmd (Command Prompt) – Pelaksanaan arahan langsung
• mshta – Menjalankan fail HTA berniat jahat
• rundll32 – Memuatkan DLL melalui baris arahan
• curl – Memuat turun muatan peringkat seterusnya
• WMI (Windows Management Instrumentation) – Untuk pergerakan lateral atau kegigihan
• Dialog Run Windows – Titik pelaksanaan awal mengikut umpan ClickFix

Dengan menggunakan komponen Microsoft yang dipercayai ini, penyerang boleh memintas banyak pertahanan titik akhir tradisional .

Keluarga Malware yang Dihantar

Kempen ini tidak terhad kepada satu jenis malware. Ia berfungsi sebagai mekanisme penghantaran untuk pelbagai jenis trojan pencuri maklumat dan akses jauh :

• Lumma Stealer – Muatan utama yang diperhatikan dalam banyak kes . Ia menuai kata laluan penyemak imbas, bukti kelayakan wallet kripto, kuki sesi, dan data sensitif lain.
• XWorm (Xworm) – Trojan akses jauh (RAT) yang mampu mencuri data dan memuat turun muatan tambahan.
• AsyncRAT – RAT sumber terbuka yang digunakan untuk pengawasan, rakaman ketukan kekunci, dan kecurian bukti kelayakan.
• MintsLoader – Pemuat/muat turun yang memasang malware tambahan ke dalam sistem yang terjejas.
• Alat Pengurusan Jauh – Berpotensi menyalahgunakan alat yang sah (cth., AnyDesk, perisian perkongsian skrin) untuk kegigihan dan pergerakan lateral.

Kejayaan pelaksanaan boleh membawa kepada pendedahan bukti kelayakan, mewujudkan akses berterusan, pergerakan lateral dalam rangkaian, dan akhirnya penggunaan ransomware . Pada sistem macOS, kempen ini juga telah diperhatikan menghantar MacSync dan Atomic Stealer .

Langkah Pertahanan yang Disyorkan Microsoft

Microsoft telah mengeluarkan beberapa cadangan praktikal untuk melindungi daripada kempen ini :

1. Dayakan perlindungan pelbagai lapisan dalam Microsoft Defender – Pastikan perlindungan masa nyata, perlindungan yang dihantar melalui awan, dan perlindungan gangguan semuanya aktif.
2. Hadkan alatan baris arahan – Gunakan AppLocker atau Windows Defender Application Control (WDAC) untuk menyekat pelaksanaan alat yang tidak dipercayai seperti PowerShell, mshta, dan rundll32.
3. Dayakan log skrip PowerShell – Hidupkan log blok skrip dan transkripsi untuk mengesan percubaan pelaksanaan arahan yang kabur.
4. Kesedaran pengguna (langkah paling kritikal) – Jangan sekali-kali menampal arahan daripada sumber yang tidak diketahui atau tidak disahkan ke dalam dialog Run, Terminal, atau PowerShell. CAPTCHA yang sah tidak akan pernah mengarahkan pengguna untuk melakukan mana-mana tindakan ini.
5. Sekat titik akhir RPC smart contract – Jika boleh, hadkan akses keluar ke pintu masuk RPC BNB Smart Chain awam dari titik akhir yang tidak memerlukan akses blockchain.
6. Gunakan Microsoft Defender untuk SmartScreen – Alat ini membantu menyekat laman web berniat jahat pada peringkat akses awal, menghalang pengguna daripada melihat CAPTCHA palsu .

Pengesanan dan Liputan

Walaupun nasihat awam daripada Microsoft tidak menyediakan senarai lengkap nama pengesanan Microsoft Defender Antivirus khusus untuk kempen ini , penyelidikan keselamatan berkaitan dari Julai dan Ogos 2026 menunjukkan bahawa Microsoft Defender untuk Titik Akhir menyediakan liputan tingkah laku untuk :

• Corak pelaksanaan living-off-the-land
• Aktiviti WebDAV dan MSHTA yang mencurigakan
• Pelaksanaan PowerShell yang kabur
• Kegigihan tugas berjadual
• Pelaksanaan muatan dalam ingatan
• Kecurian bukti kelayakan penyemak imbas

Blog ClickFix macOS yang diterbitkan oleh Microsoft pada 5 Ogos 2026 mendokumenkan bahawa Microsoft Defender untuk SmartScreen menyekat laman web berniat jahat, dan Defender XDR menyediakan liputan permukaan di bawah pemetaan taktik dan teknik tertentu . Pengesanan Microsoft Defender Antivirus untuk keluarga ancaman ClickFix yang lebih luas termasuk nama seperti Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, dan Trojan:HTML/FakeCaptcha , walaupun tandatangan khusus untuk suntikan JavaScript berkaitan BNB Chain kempen ini telah digunakan tetapi tidak dinamakan secara individu dalam amaran awam .

Cara Serangan Berfungsi: Teknik EtherHiding

Inovasi utama—dan sebab kempen ini sukar diganggu—ialah teknik EtherHiding. Daripada bergantung pada pelayan arahan-dan-kawalan (C2) tradisional yang boleh ditutup, penyerang menyimpan arahan muatan jahat terus di dalam smart contract BNB Smart Chain . Memandangkan hanya alamat wallet yang menggunakan kontrak boleh mengubah suai kandungannya, mengalih keluar arahan jahat melalui kaedah sekatan atau ambil alih tradisional hampir mustahil . Serangan ini bertindih dengan operasi malware ClearFake yang sebelum ini menggunakan gesaan kemas kini penyemak imbas palsu untuk menyebarkan malware .

Rantaian Jangkitan: Dari Laman Web Terjejas ke Malware

Serangan berlaku dalam urutan langkah pendek yang mengeksploitasi kepercayaan pengguna dan alat Windows terbina dalam:

1. Kompromi Laman Web – Penyerang menjejaskan laman web yang sah (sering laman WordPress) dan menyuntik JavaScript berkod Base64 ke dalam halaman .
2. Pertanyaan Blockchain – Skrip yang disuntik berhubung dengan pintu masuk RPC BNB Smart Chain dan membuat pertanyaan kepada smart contract tertentu untuk mendapatkan arahan jahat seterusnya .
3. CAPTCHA Palsu – Penyemak imbas mentafsir arahan yang diperoleh dan memaparkan skrin pengesahan CAPTCHA palsu kepada pengguna .
4. Kejuruteraan Sosial (ClickFix/TerminalFix) – Pengguna dipandu untuk menekan Windows+R bagi membuka dialog Run (atau buka Windows Terminal atau PowerShell), tampal arahan dari papan klip, dan laksanakannya . Ini adalah helah kejuruteraan sosial utama: ia menjadikan mangsa peserta yang tidak sedar dalam jangkitan.
5. Pelaksanaan Malware – Arahan yang ditampal memuat turun dan melaksanakan muatan akhir malware .

Alat Windows yang Disalahgunakan (Living-off-the-Land)

Untuk mengelak pengesanan, penyerang menyalahgunakan komponen Windows yang sah—teknik yang dikenali sebagai "living-off-the-land" (LOLBins) . Alat yang diperhatikan dalam kempen ini termasuk:

• conhost – Hos konsol digunakan untuk pelaksanaan arahan
• PowerShell – Pelaksanaan skrip dan muat turun muatan
• cmd (Command Prompt) – Pelaksanaan arahan langsung
• mshta – Menjalankan fail HTA berniat jahat
• rundll32 – Memuatkan DLL melalui baris arahan
• curl – Memuat turun muatan peringkat seterusnya
• WMI (Windows Management Instrumentation) – Untuk pergerakan lateral atau kegigihan
• Dialog Run Windows – Titik pelaksanaan awal mengikut umpan ClickFix

Dengan menggunakan komponen Microsoft yang dipercayai ini, penyerang boleh memintas banyak pertahanan titik akhir tradisional .

Keluarga Malware yang Dihantar

Kempen ini tidak terhad kepada satu jenis malware. Ia berfungsi sebagai mekanisme penghantaran untuk pelbagai jenis trojan pencuri maklumat dan akses jauh :

• Lumma Stealer – Muatan utama yang diperhatikan dalam banyak kes . Ia menuai kata laluan penyemak imbas, bukti kelayakan wallet kripto, kuki sesi, dan data sensitif lain.
• XWorm (Xworm) – Trojan akses jauh (RAT) yang mampu mencuri data dan memuat turun muatan tambahan.
• AsyncRAT – RAT sumber terbuka yang digunakan untuk pengawasan, rakaman ketukan kekunci, dan kecurian bukti kelayakan.
• MintsLoader – Pemuat/muat turun yang memasang malware tambahan ke dalam sistem yang terjejas.
• Alat Pengurusan Jauh – Berpotensi menyalahgunakan alat yang sah (cth., AnyDesk, perisian perkongsian skrin) untuk kegigihan dan pergerakan lateral.

Kejayaan pelaksanaan boleh membawa kepada pendedahan bukti kelayakan, mewujudkan akses berterusan, pergerakan lateral dalam rangkaian, dan akhirnya penggunaan ransomware . Pada sistem macOS, kempen ini juga telah diperhatikan menghantar MacSync dan Atomic Stealer .

Langkah Pertahanan yang Disyorkan Microsoft

Microsoft telah mengeluarkan beberapa cadangan praktikal untuk melindungi daripada kempen ini :

1. Dayakan perlindungan pelbagai lapisan dalam Microsoft Defender – Pastikan perlindungan masa nyata, perlindungan yang dihantar melalui awan, dan perlindungan gangguan semuanya aktif.
2. Hadkan alatan baris arahan – Gunakan AppLocker atau Windows Defender Application Control (WDAC) untuk menyekat pelaksanaan alat yang tidak dipercayai seperti PowerShell, mshta, dan rundll32.
3. Dayakan log skrip PowerShell – Hidupkan log blok skrip dan transkripsi untuk mengesan percubaan pelaksanaan arahan yang kabur.
4. Kesedaran pengguna (langkah paling kritikal) – Jangan sekali-kali menampal arahan daripada sumber yang tidak diketahui atau tidak disahkan ke dalam dialog Run, Terminal, atau PowerShell. CAPTCHA yang sah tidak akan pernah mengarahkan pengguna untuk melakukan mana-mana tindakan ini.
5. Sekat titik akhir RPC smart contract – Jika boleh, hadkan akses keluar ke pintu masuk RPC BNB Smart Chain awam dari titik akhir yang tidak memerlukan akses blockchain.
6. Gunakan Microsoft Defender untuk SmartScreen – Alat ini membantu menyekat laman web berniat jahat pada peringkat akses awal, menghalang pengguna daripada melihat CAPTCHA palsu .

Pengesanan dan Liputan

Walaupun nasihat awam daripada Microsoft tidak menyediakan senarai lengkap nama pengesanan Microsoft Defender Antivirus khusus untuk kempen ini , penyelidikan keselamatan berkaitan dari Julai dan Ogos 2026 menunjukkan bahawa Microsoft Defender untuk Titik Akhir menyediakan liputan tingkah laku untuk :

• Corak pelaksanaan living-off-the-land
• Aktiviti WebDAV dan MSHTA yang mencurigakan
• Pelaksanaan PowerShell yang kabur
• Kegigihan tugas berjadual
• Pelaksanaan muatan dalam ingatan
• Kecurian bukti kelayakan penyemak imbas

Blog ClickFix macOS yang diterbitkan oleh Microsoft pada 5 Ogos 2026 mendokumenkan bahawa Microsoft Defender untuk SmartScreen menyekat laman web berniat jahat, dan Defender XDR menyediakan liputan permukaan di bawah pemetaan taktik dan teknik tertentu . Pengesanan Microsoft Defender Antivirus untuk keluarga ancaman ClickFix yang lebih luas termasuk nama seperti Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, dan Trojan:HTML/FakeCaptcha , walaupun tandatangan khusus untuk suntikan JavaScript berkaitan BNB Chain kempen ini telah digunakan tetapi tidak dinamakan secara individu dalam amaran awam .