Hoe de aanval werkt: de EtherHiding-techniek

De kerninnovatie – en de reden waarom deze campagne zo moeilijk te verstoren is – is de EtherHiding-techniek. In plaats van te vertrouwen op een traditionele command-and-control-server die kan worden uitgeschakeld, slaan aanvallers kwaadaardige payload-instructies rechtstreeks op in smartcontracts op de BNB Smart Chain . Omdat alleen het wallet-adres dat het contract heeft geïmplementeerd de inhoud kan wijzigen, is het verwijderen van de kwaadaardige instructies via traditionele verwijderings- of blokkeringsmethoden vrijwel onmogelijk . Deze campagne overlapt met de ClearFake-malware-operatie, die eerder neppe browserupdate-prompts gebruikte om malware te verspreiden .

De infectieketen: van een gecompromitteerde website naar malware

De aanval ontvouwt zich in een relatief korte reeks stappen die misbruik maken van het vertrouwen van de gebruiker en ingebouwde Windows-hulpmiddelen:

1. Website-compromittering – Aanvallers compromitteren legitieme websites (vaak WordPress-sites) en injecteren Base64-gecodeerd JavaScript in de pagina .
2. Blockchain-query – Het geïnjecteerde script maakt verbinding met een BNB Smart Chain RPC-gateway en raadpleegt een specifiek smartcontract om de volgende reeks kwaadaardige instructies op te halen .
3. Nep CAPTCHA – De browser decodeert de opgehaalde instructies en toont de gebruiker een vervalst CAPTCHA-verificatiescherm .
4. Social engineering (ClickFix/TerminalFix) – De gebruiker wordt verleid om Windows+R te drukken om het dialoogvenster 'Uitvoeren' te openen (of Windows Terminal of PowerShell), het commando van het klembord te plakken en uit te voeren . Dit is de belangrijkste social engineering-truc: het maakt het slachtoffer een onvrijwillige deelnemer aan de infectie.
5. Malware-uitvoering – Het geplakte commando downloadt en voert de uiteindelijke malware-payload uit .

Misbruikte Windows-hulpmiddelen (living-off-the-land)

Om detectie te voorkomen, maken aanvallers uitgebreid misbruik van legitieme, ingebouwde Windows-componenten – een techniek die bekend staat als "living-off-the-land" (LOLBins) . De tools die in deze campagne zijn waargenomen, zijn onder meer:

• conhost – Consolehost gebruikt voor het uitvoeren van commando's
• PowerShell – Scriptuitvoering en download van payloads
• cmd (Opdrachtprompt) – Directe commando-uitvoering
• mshta – Uitvoeren van kwaadaardige HTA-bestanden
• rundll32 – Laden van DLL's via de opdrachtregel
• curl – Downloaden van volgende payloads
• WMI (Windows Management Instrumentation) – Voor laterale verplaatsing of persistentie
• Windows-dialoogvenster 'Uitvoeren' – Het initiële uitvoeringspunt volgens de ClickFix-lokmethode

Door deze vertrouwde Microsoft-componenten te gebruiken, kunnen aanvallers veel traditionele endpoint-beveiligingen omzeilen .

Geleverde malwarefamilies

Deze campagne is niet beperkt tot één enkel type malware. Het dient als een aflevermechanisme voor een reeks informatie-stelende en externe toegangstrojanen :

• Lumma Stealer – De primaire payload die in veel gevallen wordt waargenomen . Het oogst browserwachtwoorden, cryptowallet-gegevens, sessiecookies en andere gevoelige gegevens.
• XWorm (Xworm) – Een externe toegangstrojan (RAT) die in staat is tot gegevensdiefstal en het downloaden van extra payloads.
• AsyncRAT – Een open-source RAT die wordt gebruikt voor surveillance, keylogging en diefstal van inloggegevens.
• MintsLoader – Een downloader/loader die aanvullende malware op het gecompromitteerde systeem installeert.
• Externe beheerhulpmiddelen – Mogelijk misbruikte legitieme tools (bijv. AnyDesk, schermdeelsoftware) voor persistentie en laterale verplaatsing.

Succesvolle uitvoering kan leiden tot blootstelling van inloggegevens, het vestigen van persistente toegang, laterale verplaatsing binnen een netwerk en uiteindelijk het inzetten van ransomware . Op macOS-systemen is de campagne ook waargenomen met MacSync en Atomic Stealer .

Aanbevolen verdedigingsmaatregelen van Microsoft

Microsoft heeft verschillende praktische aanbevelingen gedaan om je tegen deze campagne te beschermen :

1. Schakel meerlaagse beveiliging in Microsoft Defender in – Zorg ervoor dat realtime bescherming, cloudbeveiliging en tamper protection allemaal actief zijn.
2. Beperk commandoregelprogramma's – Gebruik AppLocker of Windows Defender Application Control (WDAC) om onvertrouwde uitvoering van tools zoals PowerShell, mshta en rundll32 te blokkeren.
3. Schakel PowerShell-scriptlogboekregistratie in – Zet logboekregistratie van scriptblokken en transcriptie aan om pogingen tot verduisterde commando-uitvoering te detecteren.
4. Gebruikersbewustzijn (de meest kritieke stap) – Plak nooit commando's van onbekende of niet-geverifieerde bronnen in het dialoogvenster 'Uitvoeren', Terminal of PowerShell. Een legitieme CAPTCHA zal een gebruiker nooit instrueren om een van deze acties uit te voeren.
5. Blokkeer smart contract RPC-eindpunten – Beperk waar mogelijk uitgaande toegang tot openbare BNB Smart Chain RPC-gateways vanaf endpoints die geen blockchain-toegang nodig hebben.
6. Gebruik Microsoft Defender voor SmartScreen – Deze tool helpt bij het blokkeren van kwaadaardige webpagina's in de eerste toegangsfase, waardoor de gebruiker nooit de neppe CAPTCHA te zien krijgt .

Detectie en dekking

Hoewel het openbare advies van Microsoft geen uitputtende lijst gaf van specifieke Microsoft Defender Antivirus-detectienamen voor deze specifieke campagne , geeft gerelateerd beveiligingsonderzoek van juli en augustus 2026 aan dat Microsoft Defender for Endpoint gedragsdekking biedt voor :

• Living-off-the-land uitvoeringspatronen
• Verdachte WebDAV- en MSHTA-activiteit
• Verduisterde PowerShell-uitvoering
• Persistentie via geplande taken
• Payload-uitvoering in het geheugen
• Diefstal van browsergegevens

De macOS ClickFix-blog die Microsoft op 5 augustus 2026 publiceerde, documenteerde dat Microsoft Defender voor SmartScreen de kwaadaardige webpagina blokkeert en Defender XDR oppervlaktedekking biedt onder specifieke tactiek- en techniektoewijzingen . Microsoft Defender Antivirus-detecties voor de bredere ClickFix-bedreigingsfamilie omvatten namen zoals Behavior:Win32/ClickFix, Trojan:Win32/ClickFix en Trojan:HTML/FakeCaptcha , hoewel specifieke handtekeningen voor de JavaScript-injecties met betrekking tot de BNB Chain van deze campagne zijn geïmplementeerd maar niet individueel zijn genoemd in de openbare waarschuwing .

Hoe de aanval werkt: de EtherHiding-techniek

De kerninnovatie – en de reden waarom deze campagne zo moeilijk te verstoren is – is de EtherHiding-techniek. In plaats van te vertrouwen op een traditionele command-and-control-server die kan worden uitgeschakeld, slaan aanvallers kwaadaardige payload-instructies rechtstreeks op in smartcontracts op de BNB Smart Chain . Omdat alleen het wallet-adres dat het contract heeft geïmplementeerd de inhoud kan wijzigen, is het verwijderen van de kwaadaardige instructies via traditionele verwijderings- of blokkeringsmethoden vrijwel onmogelijk . Deze campagne overlapt met de ClearFake-malware-operatie, die eerder neppe browserupdate-prompts gebruikte om malware te verspreiden .

De infectieketen: van een gecompromitteerde website naar malware

De aanval ontvouwt zich in een relatief korte reeks stappen die misbruik maken van het vertrouwen van de gebruiker en ingebouwde Windows-hulpmiddelen:

1. Website-compromittering – Aanvallers compromitteren legitieme websites (vaak WordPress-sites) en injecteren Base64-gecodeerd JavaScript in de pagina .
2. Blockchain-query – Het geïnjecteerde script maakt verbinding met een BNB Smart Chain RPC-gateway en raadpleegt een specifiek smartcontract om de volgende reeks kwaadaardige instructies op te halen .
3. Nep CAPTCHA – De browser decodeert de opgehaalde instructies en toont de gebruiker een vervalst CAPTCHA-verificatiescherm .
4. Social engineering (ClickFix/TerminalFix) – De gebruiker wordt verleid om Windows+R te drukken om het dialoogvenster 'Uitvoeren' te openen (of Windows Terminal of PowerShell), het commando van het klembord te plakken en uit te voeren . Dit is de belangrijkste social engineering-truc: het maakt het slachtoffer een onvrijwillige deelnemer aan de infectie.
5. Malware-uitvoering – Het geplakte commando downloadt en voert de uiteindelijke malware-payload uit .

Misbruikte Windows-hulpmiddelen (living-off-the-land)

Om detectie te voorkomen, maken aanvallers uitgebreid misbruik van legitieme, ingebouwde Windows-componenten – een techniek die bekend staat als "living-off-the-land" (LOLBins) . De tools die in deze campagne zijn waargenomen, zijn onder meer:

• conhost – Consolehost gebruikt voor het uitvoeren van commando's
• PowerShell – Scriptuitvoering en download van payloads
• cmd (Opdrachtprompt) – Directe commando-uitvoering
• mshta – Uitvoeren van kwaadaardige HTA-bestanden
• rundll32 – Laden van DLL's via de opdrachtregel
• curl – Downloaden van volgende payloads
• WMI (Windows Management Instrumentation) – Voor laterale verplaatsing of persistentie
• Windows-dialoogvenster 'Uitvoeren' – Het initiële uitvoeringspunt volgens de ClickFix-lokmethode

Door deze vertrouwde Microsoft-componenten te gebruiken, kunnen aanvallers veel traditionele endpoint-beveiligingen omzeilen .

Geleverde malwarefamilies

Deze campagne is niet beperkt tot één enkel type malware. Het dient als een aflevermechanisme voor een reeks informatie-stelende en externe toegangstrojanen :

• Lumma Stealer – De primaire payload die in veel gevallen wordt waargenomen . Het oogst browserwachtwoorden, cryptowallet-gegevens, sessiecookies en andere gevoelige gegevens.
• XWorm (Xworm) – Een externe toegangstrojan (RAT) die in staat is tot gegevensdiefstal en het downloaden van extra payloads.
• AsyncRAT – Een open-source RAT die wordt gebruikt voor surveillance, keylogging en diefstal van inloggegevens.
• MintsLoader – Een downloader/loader die aanvullende malware op het gecompromitteerde systeem installeert.
• Externe beheerhulpmiddelen – Mogelijk misbruikte legitieme tools (bijv. AnyDesk, schermdeelsoftware) voor persistentie en laterale verplaatsing.

Succesvolle uitvoering kan leiden tot blootstelling van inloggegevens, het vestigen van persistente toegang, laterale verplaatsing binnen een netwerk en uiteindelijk het inzetten van ransomware . Op macOS-systemen is de campagne ook waargenomen met MacSync en Atomic Stealer .

Aanbevolen verdedigingsmaatregelen van Microsoft

Microsoft heeft verschillende praktische aanbevelingen gedaan om je tegen deze campagne te beschermen :

1. Schakel meerlaagse beveiliging in Microsoft Defender in – Zorg ervoor dat realtime bescherming, cloudbeveiliging en tamper protection allemaal actief zijn.
2. Beperk commandoregelprogramma's – Gebruik AppLocker of Windows Defender Application Control (WDAC) om onvertrouwde uitvoering van tools zoals PowerShell, mshta en rundll32 te blokkeren.
3. Schakel PowerShell-scriptlogboekregistratie in – Zet logboekregistratie van scriptblokken en transcriptie aan om pogingen tot verduisterde commando-uitvoering te detecteren.
4. Gebruikersbewustzijn (de meest kritieke stap) – Plak nooit commando's van onbekende of niet-geverifieerde bronnen in het dialoogvenster 'Uitvoeren', Terminal of PowerShell. Een legitieme CAPTCHA zal een gebruiker nooit instrueren om een van deze acties uit te voeren.
5. Blokkeer smart contract RPC-eindpunten – Beperk waar mogelijk uitgaande toegang tot openbare BNB Smart Chain RPC-gateways vanaf endpoints die geen blockchain-toegang nodig hebben.
6. Gebruik Microsoft Defender voor SmartScreen – Deze tool helpt bij het blokkeren van kwaadaardige webpagina's in de eerste toegangsfase, waardoor de gebruiker nooit de neppe CAPTCHA te zien krijgt .

Detectie en dekking

Hoewel het openbare advies van Microsoft geen uitputtende lijst gaf van specifieke Microsoft Defender Antivirus-detectienamen voor deze specifieke campagne , geeft gerelateerd beveiligingsonderzoek van juli en augustus 2026 aan dat Microsoft Defender for Endpoint gedragsdekking biedt voor :

• Living-off-the-land uitvoeringspatronen
• Verdachte WebDAV- en MSHTA-activiteit
• Verduisterde PowerShell-uitvoering
• Persistentie via geplande taken
• Payload-uitvoering in het geheugen
• Diefstal van browsergegevens

De macOS ClickFix-blog die Microsoft op 5 augustus 2026 publiceerde, documenteerde dat Microsoft Defender voor SmartScreen de kwaadaardige webpagina blokkeert en Defender XDR oppervlaktedekking biedt onder specifieke tactiek- en techniektoewijzingen . Microsoft Defender Antivirus-detecties voor de bredere ClickFix-bedreigingsfamilie omvatten namen zoals Behavior:Win32/ClickFix, Trojan:Win32/ClickFix en Trojan:HTML/FakeCaptcha , hoewel specifieke handtekeningen voor de JavaScript-injecties met betrekking tot de BNB Chain van deze campagne zijn geïmplementeerd maar niet individueel zijn genoemd in de openbare waarschuwing .