Jak działa atak: technika EtherHiding

Kluczową innowacją — i powodem, dla którego ta kampania jest tak trudna do zakłócenia — jest technika EtherHiding. Zamiast polegać na tradycyjnym serwerze dowodzenia i kontroli (C2), który można wyłączyć, atakujący przechowują złośliwe instrukcje bezpośrednio w inteligentnych kontraktach BNB Smart Chain . Ponieważ tylko adres portfela, który wdrożył kontrakt, może modyfikować jego zawartość, usunięcie złośliwych instrukcji za pomocą tradycyjnych metod usuwania lub blokowania jest praktycznie niemożliwe . Kampania ta pokrywa się z operacją złośliwego oprogramowania ClearFake, która wcześniej wykorzystywała fałszywe monity o aktualizację przeglądarki do dystrybucji złośliwego oprogramowania .

Łańcuch infekcji: od zainfekowanej strony internetowej do złośliwego oprogramowania

Atak rozwija się w stosunkowo krótkiej sekwencji kroków, które wykorzystują zaufanie użytkownika i wbudowane narzędzia Windows:

1. Kompromitacja strony internetowej – Atakujący przejmują kontrolę nad legalnymi stronami internetowymi (często WordPress) i wstrzykują do strony JavaScript zakodowany w Base64 .
2. Zapytanie do blockchaina – Wstrzyknięty skrypt łączy się z bramą RPC BNB Smart Chain i odpyttuje konkretny inteligentny kontrakt w celu pobrania kolejnych złośliwych instrukcji .
3. Fałszywa CAPTCHA – Przeglądarka dekoduje pobrane instrukcje i wyświetla użytkownikowi spreparowany ekran weryfikacyjny CAPTCHA .
4. Inżynieria społeczna (ClickFix/TerminalFix) – Użytkownik jest instruowany, aby nacisnąć Windows+R, aby otworzyć okno dialogowe „Uruchom” (lub otworzyć Windows Terminal lub PowerShell), wkleić polecenie ze schowka i je wykonać . To kluczowa sztuczka socjotechniczna: sprawia, że ofiara staje się nieświadomym uczestnikiem infekcji.
5. Wykonanie złośliwego oprogramowania – Wklejone polecenie pobiera i uruchamia ostateczne złośliwe oprogramowanie .

Nadużywane narzędzia Windows (living-off-the-land)

Aby uniknąć wykrycia, atakujący szeroko nadużywają legalnych, wbudowanych komponentów Windows — techniki znanej jako „living-off-the-land” (LOLBins) . Narzędzia zaobserwowane w tej kampanii obejmują:

• conhost – Host konsoli używany do wykonywania poleceń
• PowerShell – Wykonywanie skryptów i pobieranie ładunków
• cmd (wiersz polecenia) – Bezpośrednie wykonywanie poleceń
• mshta – Uruchamianie złośliwych plików HTA
• rundll32 – Ładowanie bibliotek DLL z wiersza poleceń
• curl – Pobieranie kolejnych ładunków
• WMI (Instrumentacja zarządzania Windows) – Do ruchu bocznego lub utrwalania dostępu
• Okno dialogowe „Uruchom” systemu Windows – Początkowy punkt wykonania zgodnie z przynętą ClickFix

Używając tych zaufanych komponentów Microsoftu, atakujący mogą ominąć wiele tradycyjnych zabezpieczeń punktów końcowych .

Dostarczane rodziny złośliwego oprogramowania

Ta kampania nie ogranicza się do jednego rodzaju złośliwego oprogramowania. Służy jako mechanizm dostarczania różnych trojanów kradnących informacje i trojanów zdalnego dostępu :

• Lumma Stealer – Główny ładunek zaobserwowany w wielu przypadkach . Zbiera hasła przeglądarki, dane logowania do portfeli kryptowalutowych, ciasteczka sesyjne i inne wrażliwe dane.
• XWorm (Xworm) – Trojan zdalnego dostępu (RAT) zdolny do kradzieży danych i pobierania dodatkowych ładunków.
• AsyncRAT – Trojan zdalnego dostępu typu open-source używany do inwigilacji, keyloggów i kradzieży danych uwierzytelniających.
• MintsLoader – Pobierak/ładowarka, która instaluje dodatkowe złośliwe oprogramowanie w zainfekowanym systemie.
• Narzędzia do zdalnego zarządzania – Potencjalnie nadużywane legalne narzędzia (np. AnyDesk, oprogramowanie do współdzielenia ekranu) do utrwalania dostępu i ruchu bocznego.

Udane wykonanie może prowadzić do ujawnienia danych uwierzytelniających, ustanowienia trwałego dostępu, ruchu bocznego w sieci i ostatecznego wdrożenia oprogramowania ransomware . W systemach macOS zaobserwowano również dostarczanie MacSync i Atomic Stealer .

Zalecane środki obronne Microsoftu

Microsoft wydał kilka praktycznych zaleceń dotyczących ochrony przed tą kampanią :

1. Włącz wielowarstwową ochronę w Microsoft Defender – Upewnij się, że ochrona w czasie rzeczywistym, ochrona w chmurze i ochrona przed manipulacją są aktywne.
2. Ogranicz narzędzia wiersza poleceń – Użyj AppLocker lub Windows Defender Application Control (WDAC), aby zablokować nieautoryzowane wykonywanie narzędzi takich jak PowerShell, mshta i rundll32.
3. Włącz rejestrowanie skryptów PowerShell – Włącz rejestrowanie bloków skryptów i transkrypcję, aby wykrywać próby wykonania zaciemnionych poleceń.
4. Świadomość użytkownika (najważniejszy krok) – Nigdy nie wklejaj poleceń z nieznanych lub niezweryfikowanych źródeł do okna „Uruchom”, Terminala lub PowerShell. Prawdziwa CAPTCHA nigdy nie każe użytkownikowi wykonywać żadnej z tych czynności.
5. Zablokuj punkty końcowe RPC inteligentnych kontraktów – Tam, gdzie to możliwe, ogranicz wychodzący dostęp do publicznych bram RPC BNB Smart Chain z punktów końcowych, które nie wymagają dostępu do blockchaina.
6. Używaj Microsoft Defender for SmartScreen – To narzędzie pomaga blokować złośliwe strony internetowe na etapie początkowego dostępu, uniemożliwiając użytkownikowi zobaczenie fałszywej CAPTCHA .

Wykrywanie i pokrycie

Chociaż publiczne ostrzeżenie Microsoftu nie zawierało wyczerpującej listy konkretnych nazw wykrywania Microsoft Defender Antivirus dla tej konkretnej kampanii , pokrewne badania bezpieczeństwa z lipca i sierpnia 2026 r. wskazują, że Microsoft Defender for Endpoint zapewnia pokrycie behawioralne dla :

• Wzorców wykonywania living-off-the-land
• Podejrzanej aktywności WebDAV i MSHTA
• Wykonywania zaciemnionego PowerShell
• Utrwalania za pomocą zaplanowanych zadań
• Wykonywania ładunków w pamięci
• Kradzieży danych uwierzytelniających przeglądarki

Blog Microsoftu na temat macOS ClickFix opublikowany 5 sierpnia 2026 r. udokumentował, że Microsoft Defender for SmartScreen blokuje złośliwą stronę internetową, a Defender XDR zapewnia pokrycie powierzchniowe w ramach określonych odwzorowań taktyk i technik . Wykrycia Microsoft Defender Antivirus dla szerszej rodziny zagrożeń ClickFix obejmują nazwy takie jak Behavior:Win32/ClickFix, Trojan:Win32/ClickFix i Trojan:HTML/FakeCaptcha , chociaż konkretne sygnatury dla wstrzyknięć JavaScript związanych z BNB Chain w tej kampanii zostały wdrożone, ale nie zostały wymienione w publicznym ostrzeżeniu .

Jak działa atak: technika EtherHiding

Kluczową innowacją — i powodem, dla którego ta kampania jest tak trudna do zakłócenia — jest technika EtherHiding. Zamiast polegać na tradycyjnym serwerze dowodzenia i kontroli (C2), który można wyłączyć, atakujący przechowują złośliwe instrukcje bezpośrednio w inteligentnych kontraktach BNB Smart Chain . Ponieważ tylko adres portfela, który wdrożył kontrakt, może modyfikować jego zawartość, usunięcie złośliwych instrukcji za pomocą tradycyjnych metod usuwania lub blokowania jest praktycznie niemożliwe . Kampania ta pokrywa się z operacją złośliwego oprogramowania ClearFake, która wcześniej wykorzystywała fałszywe monity o aktualizację przeglądarki do dystrybucji złośliwego oprogramowania .

Łańcuch infekcji: od zainfekowanej strony internetowej do złośliwego oprogramowania

Atak rozwija się w stosunkowo krótkiej sekwencji kroków, które wykorzystują zaufanie użytkownika i wbudowane narzędzia Windows:

1. Kompromitacja strony internetowej – Atakujący przejmują kontrolę nad legalnymi stronami internetowymi (często WordPress) i wstrzykują do strony JavaScript zakodowany w Base64 .
2. Zapytanie do blockchaina – Wstrzyknięty skrypt łączy się z bramą RPC BNB Smart Chain i odpyttuje konkretny inteligentny kontrakt w celu pobrania kolejnych złośliwych instrukcji .
3. Fałszywa CAPTCHA – Przeglądarka dekoduje pobrane instrukcje i wyświetla użytkownikowi spreparowany ekran weryfikacyjny CAPTCHA .
4. Inżynieria społeczna (ClickFix/TerminalFix) – Użytkownik jest instruowany, aby nacisnąć Windows+R, aby otworzyć okno dialogowe „Uruchom” (lub otworzyć Windows Terminal lub PowerShell), wkleić polecenie ze schowka i je wykonać . To kluczowa sztuczka socjotechniczna: sprawia, że ofiara staje się nieświadomym uczestnikiem infekcji.
5. Wykonanie złośliwego oprogramowania – Wklejone polecenie pobiera i uruchamia ostateczne złośliwe oprogramowanie .

Nadużywane narzędzia Windows (living-off-the-land)

Aby uniknąć wykrycia, atakujący szeroko nadużywają legalnych, wbudowanych komponentów Windows — techniki znanej jako „living-off-the-land” (LOLBins) . Narzędzia zaobserwowane w tej kampanii obejmują:

• conhost – Host konsoli używany do wykonywania poleceń
• PowerShell – Wykonywanie skryptów i pobieranie ładunków
• cmd (wiersz polecenia) – Bezpośrednie wykonywanie poleceń
• mshta – Uruchamianie złośliwych plików HTA
• rundll32 – Ładowanie bibliotek DLL z wiersza poleceń
• curl – Pobieranie kolejnych ładunków
• WMI (Instrumentacja zarządzania Windows) – Do ruchu bocznego lub utrwalania dostępu
• Okno dialogowe „Uruchom” systemu Windows – Początkowy punkt wykonania zgodnie z przynętą ClickFix

Używając tych zaufanych komponentów Microsoftu, atakujący mogą ominąć wiele tradycyjnych zabezpieczeń punktów końcowych .

Dostarczane rodziny złośliwego oprogramowania

Ta kampania nie ogranicza się do jednego rodzaju złośliwego oprogramowania. Służy jako mechanizm dostarczania różnych trojanów kradnących informacje i trojanów zdalnego dostępu :

• Lumma Stealer – Główny ładunek zaobserwowany w wielu przypadkach . Zbiera hasła przeglądarki, dane logowania do portfeli kryptowalutowych, ciasteczka sesyjne i inne wrażliwe dane.
• XWorm (Xworm) – Trojan zdalnego dostępu (RAT) zdolny do kradzieży danych i pobierania dodatkowych ładunków.
• AsyncRAT – Trojan zdalnego dostępu typu open-source używany do inwigilacji, keyloggów i kradzieży danych uwierzytelniających.
• MintsLoader – Pobierak/ładowarka, która instaluje dodatkowe złośliwe oprogramowanie w zainfekowanym systemie.
• Narzędzia do zdalnego zarządzania – Potencjalnie nadużywane legalne narzędzia (np. AnyDesk, oprogramowanie do współdzielenia ekranu) do utrwalania dostępu i ruchu bocznego.

Udane wykonanie może prowadzić do ujawnienia danych uwierzytelniających, ustanowienia trwałego dostępu, ruchu bocznego w sieci i ostatecznego wdrożenia oprogramowania ransomware . W systemach macOS zaobserwowano również dostarczanie MacSync i Atomic Stealer .

Zalecane środki obronne Microsoftu

Microsoft wydał kilka praktycznych zaleceń dotyczących ochrony przed tą kampanią :

1. Włącz wielowarstwową ochronę w Microsoft Defender – Upewnij się, że ochrona w czasie rzeczywistym, ochrona w chmurze i ochrona przed manipulacją są aktywne.
2. Ogranicz narzędzia wiersza poleceń – Użyj AppLocker lub Windows Defender Application Control (WDAC), aby zablokować nieautoryzowane wykonywanie narzędzi takich jak PowerShell, mshta i rundll32.
3. Włącz rejestrowanie skryptów PowerShell – Włącz rejestrowanie bloków skryptów i transkrypcję, aby wykrywać próby wykonania zaciemnionych poleceń.
4. Świadomość użytkownika (najważniejszy krok) – Nigdy nie wklejaj poleceń z nieznanych lub niezweryfikowanych źródeł do okna „Uruchom”, Terminala lub PowerShell. Prawdziwa CAPTCHA nigdy nie każe użytkownikowi wykonywać żadnej z tych czynności.
5. Zablokuj punkty końcowe RPC inteligentnych kontraktów – Tam, gdzie to możliwe, ogranicz wychodzący dostęp do publicznych bram RPC BNB Smart Chain z punktów końcowych, które nie wymagają dostępu do blockchaina.
6. Używaj Microsoft Defender for SmartScreen – To narzędzie pomaga blokować złośliwe strony internetowe na etapie początkowego dostępu, uniemożliwiając użytkownikowi zobaczenie fałszywej CAPTCHA .

Wykrywanie i pokrycie

Chociaż publiczne ostrzeżenie Microsoftu nie zawierało wyczerpującej listy konkretnych nazw wykrywania Microsoft Defender Antivirus dla tej konkretnej kampanii , pokrewne badania bezpieczeństwa z lipca i sierpnia 2026 r. wskazują, że Microsoft Defender for Endpoint zapewnia pokrycie behawioralne dla :

• Wzorców wykonywania living-off-the-land
• Podejrzanej aktywności WebDAV i MSHTA
• Wykonywania zaciemnionego PowerShell
• Utrwalania za pomocą zaplanowanych zadań
• Wykonywania ładunków w pamięci
• Kradzieży danych uwierzytelniających przeglądarki

Blog Microsoftu na temat macOS ClickFix opublikowany 5 sierpnia 2026 r. udokumentował, że Microsoft Defender for SmartScreen blokuje złośliwą stronę internetową, a Defender XDR zapewnia pokrycie powierzchniowe w ramach określonych odwzorowań taktyk i technik . Wykrycia Microsoft Defender Antivirus dla szerszej rodziny zagrożeń ClickFix obejmują nazwy takie jak Behavior:Win32/ClickFix, Trojan:Win32/ClickFix i Trojan:HTML/FakeCaptcha , chociaż konkretne sygnatury dla wstrzyknięć JavaScript związanych z BNB Chain w tej kampanii zostały wdrożone, ale nie zostały wymienione w publicznym ostrzeżeniu .