Slik fungerer angrepet: EtherHiding-teknikken

Kjernen i angrepet – og grunnen til at det er så vanskelig å stoppe – er EtherHiding-teknikken. I stedet for å bruke en tradisjonell kommandoserver som kan tas ned, lagrer angriperne ondsinnede instruksjoner direkte i BNB Smart Chain smartkontrakter . Siden bare lommebokadressen som opprettet kontrakten kan endre innholdet, er det nesten umulig å fjerne de ondsinnede instruksjonene gjennom tradisjonell nedtaking eller blokkering . Denne kampanjen overlapper med ClearFake malware-operasjonen, som tidligere brukte falske nettleseroppdateringsmeldinger for å spre skadevare .

Angrepskjeden: Fra kompromittert nettsted til malware

Angrepet skjer i en kort serie steg som utnytter brukertillit og innebygde Windows-verktøy:

1. Nettstedkompromittering – Angripere kompromitterer legitime nettsteder (ofte WordPress-sider) og injiserer Base64-kodet JavaScript i siden .
2. Blockchain-spørring – Det injiserte skriptet kobler seg til en BNB Smart Chain RPC-gateway og spør en spesifikk smartkontrakt for å hente neste stegs ondsinnede instruksjoner .
3. Falsk CAPTCHA – Nettleseren dekoder de hentede instruksjonene og viser en forfalsket CAPTCHA-bekreftelsesskjerm til brukeren .
4. Sosial manipulasjon (ClickFix/TerminalFix) – Brukeren blir guidet til å trykke Windows+R for å åpne Kjør-dialogen (eller åpne Windows Terminal eller PowerShell), lime inn kommandoen fra utklippstavlen og utføre den . Dette er det sentrale sosialmanipulasjonstrikset: det gjør offeret til en uvitende deltaker i infeksjonen.
5. Malware-utførelse – Den innlimte kommandoen laster ned og utfører den endelige skadevaren .

Misbrukte Windows-verktøy (Living-off-the-Land)

For å unngå oppdagelse misbruker angriperne i stor grad legitime, innebygde Windows-komponenter – en teknikk kjent som "living-off-the-land" (LOLBins) . Verktøyene observert i denne kampanjen inkluderer:

• conhost – Konsollvert for kommandoutførelse
• PowerShell – Skriptutførelse og nedlasting av laster
• cmd (Command Prompt) – Direkte kommandoutførelse
• mshta – Kjøring av ondsinnede HTA-filer
• rundll32 – Laste DLL-er via kommandolinjen
• curl – Nedlasting av neste stegs laster
• WMI (Windows Management Instrumentation) – For lateral bevegelse eller utholdenhet
• Windows Kjør-dialog – Det første utførelsespunktet i ClickFix-lokkematen

Ved å bruke disse betrodde Microsoft-komponentene kan angriperne omgå mange tradisjonelle endepunktsforsvar .

Malware-familier som leveres

Denne kampanjen er ikke begrenset til én enkelt skadevare. Den fungerer som en leveringsmekanisme for en rekke informasjonsstjelende trojanere og eksterne tilgangstrojanere :

• Lumma Stealer – Den primære lasten observert i mange tilfeller . Den høster nettleserpassord, kryptovaluta-lommeboklegitimasjon, sesjonscookies og andre sensitive data.
• XWorm (Xworm) – En ekstern tilgangstrojaner (RAT) som kan stjele data og laste ned ytterligere laster.
• AsyncRAT – En åpen kildekode RAT som brukes til overvåking, tastaturlogging og legitimasjonsinnsamling.
• MintsLoader – En nedlaster/laster som installerer ytterligere skadevare på det kompromitterte systemet.
• Eksterne administrasjonsverktøy – Potensielt misbrukte legitime verktøy (f.eks. AnyDesk, skjermdelingsprogramvare) for utholdenhet og lateral bevegelse.

Vellykket utførelse kan føre til eksponering av legitimasjon, etablering av vedvarende tilgang, lateral bevegelse i nettverket og eventuell løsepengevareutplassering . På macOS-systemer har kampanjen også blitt observert levere MacSync og Atomic Stealer .

Microsofts anbefalte forsvars- og tiltaksråd

Microsoft har gitt flere praktiske anbefalinger for å beskytte seg mot denne kampanjen :

1. Aktiver flerlagsbeskyttelse i Microsoft Defender – Sørg for at sanntidsbeskyttelse, skybasert beskyttelse og manipulasjonsbeskyttelse er aktivert.
2. Begrens kommandolinjeverktøy – Bruk AppLocker eller Windows Defender Application Control (WDAC) for å blokkere upålitelig utførelse av verktøy som PowerShell, mshta og rundll32.
3. Aktiver PowerShell-skriptlogging – Slå på skriptblokkeringslogging og transkripsjon for å oppdage forsøk på obfuskert kommandoutførelse.
4. Brukerbevissthet (det viktigste trinnet) – Lim aldri inn kommandoer fra ukjente eller ubekreftede kilder i Kjør-dialogen, Terminal eller PowerShell. En ekte CAPTCHA vil aldri instruere en bruker om å utføre noen av disse handlingene.
5. Blokker smartkontrakt RPC-endepunkter – Der det er mulig, begrens utgående tilgang til offentlige BNB Smart Chain RPC-gatewayer fra enheter som ikke trenger blockchain-tilgang.
6. Bruk Microsoft Defender for SmartScreen – Dette verktøyet hjelper med å blokkere ondsinnede nettsider på det første tilgangsstadiet, og forhindrer brukeren i å se den falske CAPTCHA-en i det hele tatt .

Deteksjon og dekning

Selv om den offentlige advarselen fra Microsoft ikke ga en uttømmende liste over spesifikke Microsoft Defender Antivirus-deteksjonsnavn for denne spesifikke kampanjen , indikerer relatert sikkerhetsforskning fra juli og august 2026 at Microsoft Defender for Endpoint gir atferdsdekning for :

• Living-off-the-land-utførelsesmønstre
• Mistenkelig WebDAV- og MSHTA-aktivitet
• Obfuskert PowerShell-utførelse
• Planlagt oppgaveutholdenhet
• In-memory nyttelastutførelse
• Nettleserlegitimasjonstyveri

macOS ClickFix-bloggen publisert av Microsoft 5. august 2026 dokumenterte at Microsoft Defender for SmartScreen blokkerer den ondsinnede nettsiden, og at Defender XDR gir dekning under spesifikke taktikk- og teknikk-kartlegginger . Microsoft Defender Antivirus-deteksjoner for den bredere ClickFix-truselfamilien inkluderer navn som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix og Trojan:HTML/FakeCaptcha , men spesifikke signaturer for denne kampanjens BNB Chain-relaterte JavaScript-injeksjoner er distribuert, men ble ikke individuelt navngitt i den offentlige advarselen .

Slik fungerer angrepet: EtherHiding-teknikken

Kjernen i angrepet – og grunnen til at det er så vanskelig å stoppe – er EtherHiding-teknikken. I stedet for å bruke en tradisjonell kommandoserver som kan tas ned, lagrer angriperne ondsinnede instruksjoner direkte i BNB Smart Chain smartkontrakter . Siden bare lommebokadressen som opprettet kontrakten kan endre innholdet, er det nesten umulig å fjerne de ondsinnede instruksjonene gjennom tradisjonell nedtaking eller blokkering . Denne kampanjen overlapper med ClearFake malware-operasjonen, som tidligere brukte falske nettleseroppdateringsmeldinger for å spre skadevare .

Angrepskjeden: Fra kompromittert nettsted til malware

Angrepet skjer i en kort serie steg som utnytter brukertillit og innebygde Windows-verktøy:

1. Nettstedkompromittering – Angripere kompromitterer legitime nettsteder (ofte WordPress-sider) og injiserer Base64-kodet JavaScript i siden .
2. Blockchain-spørring – Det injiserte skriptet kobler seg til en BNB Smart Chain RPC-gateway og spør en spesifikk smartkontrakt for å hente neste stegs ondsinnede instruksjoner .
3. Falsk CAPTCHA – Nettleseren dekoder de hentede instruksjonene og viser en forfalsket CAPTCHA-bekreftelsesskjerm til brukeren .
4. Sosial manipulasjon (ClickFix/TerminalFix) – Brukeren blir guidet til å trykke Windows+R for å åpne Kjør-dialogen (eller åpne Windows Terminal eller PowerShell), lime inn kommandoen fra utklippstavlen og utføre den . Dette er det sentrale sosialmanipulasjonstrikset: det gjør offeret til en uvitende deltaker i infeksjonen.
5. Malware-utførelse – Den innlimte kommandoen laster ned og utfører den endelige skadevaren .

Misbrukte Windows-verktøy (Living-off-the-Land)

For å unngå oppdagelse misbruker angriperne i stor grad legitime, innebygde Windows-komponenter – en teknikk kjent som "living-off-the-land" (LOLBins) . Verktøyene observert i denne kampanjen inkluderer:

• conhost – Konsollvert for kommandoutførelse
• PowerShell – Skriptutførelse og nedlasting av laster
• cmd (Command Prompt) – Direkte kommandoutførelse
• mshta – Kjøring av ondsinnede HTA-filer
• rundll32 – Laste DLL-er via kommandolinjen
• curl – Nedlasting av neste stegs laster
• WMI (Windows Management Instrumentation) – For lateral bevegelse eller utholdenhet
• Windows Kjør-dialog – Det første utførelsespunktet i ClickFix-lokkematen

Ved å bruke disse betrodde Microsoft-komponentene kan angriperne omgå mange tradisjonelle endepunktsforsvar .

Malware-familier som leveres

Denne kampanjen er ikke begrenset til én enkelt skadevare. Den fungerer som en leveringsmekanisme for en rekke informasjonsstjelende trojanere og eksterne tilgangstrojanere :

• Lumma Stealer – Den primære lasten observert i mange tilfeller . Den høster nettleserpassord, kryptovaluta-lommeboklegitimasjon, sesjonscookies og andre sensitive data.
• XWorm (Xworm) – En ekstern tilgangstrojaner (RAT) som kan stjele data og laste ned ytterligere laster.
• AsyncRAT – En åpen kildekode RAT som brukes til overvåking, tastaturlogging og legitimasjonsinnsamling.
• MintsLoader – En nedlaster/laster som installerer ytterligere skadevare på det kompromitterte systemet.
• Eksterne administrasjonsverktøy – Potensielt misbrukte legitime verktøy (f.eks. AnyDesk, skjermdelingsprogramvare) for utholdenhet og lateral bevegelse.

Vellykket utførelse kan føre til eksponering av legitimasjon, etablering av vedvarende tilgang, lateral bevegelse i nettverket og eventuell løsepengevareutplassering . På macOS-systemer har kampanjen også blitt observert levere MacSync og Atomic Stealer .

Microsofts anbefalte forsvars- og tiltaksråd

Microsoft har gitt flere praktiske anbefalinger for å beskytte seg mot denne kampanjen :

1. Aktiver flerlagsbeskyttelse i Microsoft Defender – Sørg for at sanntidsbeskyttelse, skybasert beskyttelse og manipulasjonsbeskyttelse er aktivert.
2. Begrens kommandolinjeverktøy – Bruk AppLocker eller Windows Defender Application Control (WDAC) for å blokkere upålitelig utførelse av verktøy som PowerShell, mshta og rundll32.
3. Aktiver PowerShell-skriptlogging – Slå på skriptblokkeringslogging og transkripsjon for å oppdage forsøk på obfuskert kommandoutførelse.
4. Brukerbevissthet (det viktigste trinnet) – Lim aldri inn kommandoer fra ukjente eller ubekreftede kilder i Kjør-dialogen, Terminal eller PowerShell. En ekte CAPTCHA vil aldri instruere en bruker om å utføre noen av disse handlingene.
5. Blokker smartkontrakt RPC-endepunkter – Der det er mulig, begrens utgående tilgang til offentlige BNB Smart Chain RPC-gatewayer fra enheter som ikke trenger blockchain-tilgang.
6. Bruk Microsoft Defender for SmartScreen – Dette verktøyet hjelper med å blokkere ondsinnede nettsider på det første tilgangsstadiet, og forhindrer brukeren i å se den falske CAPTCHA-en i det hele tatt .

Deteksjon og dekning

Selv om den offentlige advarselen fra Microsoft ikke ga en uttømmende liste over spesifikke Microsoft Defender Antivirus-deteksjonsnavn for denne spesifikke kampanjen , indikerer relatert sikkerhetsforskning fra juli og august 2026 at Microsoft Defender for Endpoint gir atferdsdekning for :

• Living-off-the-land-utførelsesmønstre
• Mistenkelig WebDAV- og MSHTA-aktivitet
• Obfuskert PowerShell-utførelse
• Planlagt oppgaveutholdenhet
• In-memory nyttelastutførelse
• Nettleserlegitimasjonstyveri

macOS ClickFix-bloggen publisert av Microsoft 5. august 2026 dokumenterte at Microsoft Defender for SmartScreen blokkerer den ondsinnede nettsiden, og at Defender XDR gir dekning under spesifikke taktikk- og teknikk-kartlegginger . Microsoft Defender Antivirus-deteksjoner for den bredere ClickFix-truselfamilien inkluderer navn som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix og Trojan:HTML/FakeCaptcha , men spesifikke signaturer for denne kampanjens BNB Chain-relaterte JavaScript-injeksjoner er distribuert, men ble ikke individuelt navngitt i den offentlige advarselen .