Como o Ataque Funciona: A Técnica EtherHiding

A grande inovação—e a razão pela qual esta campanha é tão difícil de interromper—é a técnica EtherHiding. Em vez de depender de um servidor de comando e controle (C2) tradicional que pode ser derrubado, os atacantes armazenam as instruções maliciosas diretamente dentro de contratos inteligentes na BNB Smart Chain . Como apenas o endereço da carteira que implantou o contrato pode modificar seu conteúdo, remover as instruções maliciosas através de métodos tradicionais de remoção ou bloqueio é virtualmente impossível . Esta campanha tem sobreposição com a operação de malware ClearFake, que anteriormente usava avisos falsos de atualização de navegador para distribuir malware .

A Cadeia de Infecção: De um Site Comprometido ao Malware

O ataque se desenrola em uma sequência relativamente curta de etapas que exploram a confiança do usuário e ferramentas nativas do Windows:

1. Comprometimento do Site – Os atacantes invadem sites legítimos (frequentemente sites WordPress) e injetam código JavaScript codificado em Base64 na página .
2. Consulta à Blockchain – O script injetado se conecta a um gateway RPC da BNB Smart Chain e consulta um contrato inteligente específico para buscar as próximas instruções maliciosas .
3. CAPTCHA Falso – O navegador decodifica as instruções recebidas e exibe uma tela de verificação CAPTCHA fabricada para o usuário .
4. Engenharia Social (ClickFix/TerminalFix) – O usuário é instruído a pressionar Windows+R para abrir a caixa de diálogo 'Executar' (ou abrir o Terminal do Windows ou PowerShell), colar o comando que já está na área de transferência e executá-lo . Este é o truque chave de engenharia social: ele transforma a vítima em um participante involuntário da infecção.
5. Execução do Malware – O comando colado baixa e executa a carga maliciosa final .

Ferramentas do Windows Abusadas (Living-off-the-Land)

Para evitar a detecção, os atacantes abusam extensivamente de componentes legítimos e nativos do Windows—uma técnica conhecida como "living-off-the-land" (LOLBins) . As ferramentas observadas nesta campanha incluem:

• conhost – Host do console usado para execução de comandos
• PowerShell – Execução de scripts e download de cargas maliciosas
• cmd (Prompt de Comando) – Execução direta de comandos
• mshta – Execução de arquivos HTA maliciosos
• rundll32 – Carregamento de DLLs via linha de comando
• curl – Download de cargas maliciosas de próximo estágio
• WMI (Windows Management Instrumentation) – Para movimento lateral ou persistência
• Caixa de diálogo 'Executar' do Windows – O ponto de execução inicial, de acordo com a isca ClickFix

Ao usar esses componentes confiáveis da Microsoft, os atacantes conseguem contornar muitas defesas tradicionais de endpoint .

Famílias de Malware Distribuídas

Esta campanha não se limita a um único tipo de malware. Ela serve como mecanismo de entrega para uma variedade de trojans que roubam informações e permitem acesso remoto :

• Lumma Stealer – A carga primária observada em muitos casos . Ele rouba senhas de navegadores, credenciais de carteiras de criptomoedas, cookies de sessão e outros dados sensíveis.
• XWorm (Xworm) – Um trojan de acesso remoto (RAT) capaz de roubar dados e baixar cargas adicionais.
• AsyncRAT – Um RAT de código aberto usado para vigilância, captura de teclas (keylogging) e roubo de credenciais.
• MintsLoader – Um downloader/loader que instala malwares adicionais no sistema comprometido.
• Ferramentas de Gerenciamento Remoto – Ferramentas legítimas (ex: AnyDesk, softwares de compartilhamento de tela) que podem ser abusadas para persistência e movimento lateral.

A execução bem-sucedida pode levar à exposição de credenciais, estabelecimento de acesso persistente, movimento lateral dentro de uma rede e, eventualmente, à implantação de ransomware . Em sistemas macOS, a campanha também foi observada distribuindo MacSync e Atomic Stealer .

Medidas Defensivas Recomendadas pela Microsoft

A Microsoft emitiu várias recomendações práticas para se proteger contra esta campanha :

1. Ative a proteção em múltiplas camadas no Microsoft Defender – Certifique-se de que a proteção em tempo real, a proteção entregue pela nuvem e a proteção contra violação (tamper protection) estejam ativas.
2. Restrinja ferramentas de linha de comando – Use o AppLocker ou o Windows Defender Application Control (WDAC) para bloquear a execução não confiável de ferramentas como PowerShell, mshta e rundll32.
3. Ative o log de scripts do PowerShell – Ative o log de blocos de script e a transcrição para detectar tentativas de execução de comandos ofuscados.
4. Conscientização do usuário (a etapa mais crítica) – Nunca cole comandos de fontes desconhecidas ou não verificadas na caixa de diálogo 'Executar', Terminal ou PowerShell. Um CAPTCHA legítimo nunca instruirá um usuário a realizar nenhuma dessas ações.
5. Bloqueie endpoints RPC de contratos inteligentes – Quando viável, restrinja o acesso de saída a gateways RPC públicos da BNB Smart Chain a partir de endpoints que não necessitam de acesso à blockchain.
6. Use o Microsoft Defender for SmartScreen – Esta ferramenta ajuda a bloquear páginas web maliciosas no estágio de acesso inicial, impedindo que o usuário sequer veja o CAPTCHA falso .

Detecção e Cobertura

Embora o comunicado público da Microsoft não tenha fornecido uma lista exaustiva de nomes de detecção específicos do Microsoft Defender Antivírus para esta campanha em particular , pesquisas de segurança relacionadas de julho e agosto de 2026 indicam que o Microsoft Defender for Endpoint fornece cobertura comportamental para :

• Padrões de execução living-off-the-land
• Atividade suspeita de WebDAV e MSHTA
• Execução ofuscada de PowerShell
• Persistência via tarefas agendadas
• Execução de cargas maliciosas na memória
• Roubo de credenciais de navegador

O blog da Microsoft sobre o ClickFix para macOS, publicado em 5 de agosto de 2026, documentou que o Microsoft Defender for SmartScreen bloqueia a página web maliciosa, e o Defender XDR fornece cobertura de superfície sob mapeamentos específicos de táticas e técnicas . As detecções do Microsoft Defender Antivírus para a família de ameaças ClickFix mais ampla incluem nomes como Behavior:Win32/ClickFix, Trojan:Win32/ClickFix e Trojan:HTML/FakeCaptcha , embora assinaturas específicas para as injeções de JavaScript relacionadas à BNB Chain desta campanha tenham sido implantadas, mas não foram nomeadas individualmente no aviso público .

Como o Ataque Funciona: A Técnica EtherHiding

A grande inovação—e a razão pela qual esta campanha é tão difícil de interromper—é a técnica EtherHiding. Em vez de depender de um servidor de comando e controle (C2) tradicional que pode ser derrubado, os atacantes armazenam as instruções maliciosas diretamente dentro de contratos inteligentes na BNB Smart Chain . Como apenas o endereço da carteira que implantou o contrato pode modificar seu conteúdo, remover as instruções maliciosas através de métodos tradicionais de remoção ou bloqueio é virtualmente impossível . Esta campanha tem sobreposição com a operação de malware ClearFake, que anteriormente usava avisos falsos de atualização de navegador para distribuir malware .

A Cadeia de Infecção: De um Site Comprometido ao Malware

O ataque se desenrola em uma sequência relativamente curta de etapas que exploram a confiança do usuário e ferramentas nativas do Windows:

1. Comprometimento do Site – Os atacantes invadem sites legítimos (frequentemente sites WordPress) e injetam código JavaScript codificado em Base64 na página .
2. Consulta à Blockchain – O script injetado se conecta a um gateway RPC da BNB Smart Chain e consulta um contrato inteligente específico para buscar as próximas instruções maliciosas .
3. CAPTCHA Falso – O navegador decodifica as instruções recebidas e exibe uma tela de verificação CAPTCHA fabricada para o usuário .
4. Engenharia Social (ClickFix/TerminalFix) – O usuário é instruído a pressionar Windows+R para abrir a caixa de diálogo 'Executar' (ou abrir o Terminal do Windows ou PowerShell), colar o comando que já está na área de transferência e executá-lo . Este é o truque chave de engenharia social: ele transforma a vítima em um participante involuntário da infecção.
5. Execução do Malware – O comando colado baixa e executa a carga maliciosa final .

Ferramentas do Windows Abusadas (Living-off-the-Land)

Para evitar a detecção, os atacantes abusam extensivamente de componentes legítimos e nativos do Windows—uma técnica conhecida como "living-off-the-land" (LOLBins) . As ferramentas observadas nesta campanha incluem:

• conhost – Host do console usado para execução de comandos
• PowerShell – Execução de scripts e download de cargas maliciosas
• cmd (Prompt de Comando) – Execução direta de comandos
• mshta – Execução de arquivos HTA maliciosos
• rundll32 – Carregamento de DLLs via linha de comando
• curl – Download de cargas maliciosas de próximo estágio
• WMI (Windows Management Instrumentation) – Para movimento lateral ou persistência
• Caixa de diálogo 'Executar' do Windows – O ponto de execução inicial, de acordo com a isca ClickFix

Ao usar esses componentes confiáveis da Microsoft, os atacantes conseguem contornar muitas defesas tradicionais de endpoint .

Famílias de Malware Distribuídas

Esta campanha não se limita a um único tipo de malware. Ela serve como mecanismo de entrega para uma variedade de trojans que roubam informações e permitem acesso remoto :

• Lumma Stealer – A carga primária observada em muitos casos . Ele rouba senhas de navegadores, credenciais de carteiras de criptomoedas, cookies de sessão e outros dados sensíveis.
• XWorm (Xworm) – Um trojan de acesso remoto (RAT) capaz de roubar dados e baixar cargas adicionais.
• AsyncRAT – Um RAT de código aberto usado para vigilância, captura de teclas (keylogging) e roubo de credenciais.
• MintsLoader – Um downloader/loader que instala malwares adicionais no sistema comprometido.
• Ferramentas de Gerenciamento Remoto – Ferramentas legítimas (ex: AnyDesk, softwares de compartilhamento de tela) que podem ser abusadas para persistência e movimento lateral.

A execução bem-sucedida pode levar à exposição de credenciais, estabelecimento de acesso persistente, movimento lateral dentro de uma rede e, eventualmente, à implantação de ransomware . Em sistemas macOS, a campanha também foi observada distribuindo MacSync e Atomic Stealer .

Medidas Defensivas Recomendadas pela Microsoft

A Microsoft emitiu várias recomendações práticas para se proteger contra esta campanha :

1. Ative a proteção em múltiplas camadas no Microsoft Defender – Certifique-se de que a proteção em tempo real, a proteção entregue pela nuvem e a proteção contra violação (tamper protection) estejam ativas.
2. Restrinja ferramentas de linha de comando – Use o AppLocker ou o Windows Defender Application Control (WDAC) para bloquear a execução não confiável de ferramentas como PowerShell, mshta e rundll32.
3. Ative o log de scripts do PowerShell – Ative o log de blocos de script e a transcrição para detectar tentativas de execução de comandos ofuscados.
4. Conscientização do usuário (a etapa mais crítica) – Nunca cole comandos de fontes desconhecidas ou não verificadas na caixa de diálogo 'Executar', Terminal ou PowerShell. Um CAPTCHA legítimo nunca instruirá um usuário a realizar nenhuma dessas ações.
5. Bloqueie endpoints RPC de contratos inteligentes – Quando viável, restrinja o acesso de saída a gateways RPC públicos da BNB Smart Chain a partir de endpoints que não necessitam de acesso à blockchain.
6. Use o Microsoft Defender for SmartScreen – Esta ferramenta ajuda a bloquear páginas web maliciosas no estágio de acesso inicial, impedindo que o usuário sequer veja o CAPTCHA falso .

Detecção e Cobertura

Embora o comunicado público da Microsoft não tenha fornecido uma lista exaustiva de nomes de detecção específicos do Microsoft Defender Antivírus para esta campanha em particular , pesquisas de segurança relacionadas de julho e agosto de 2026 indicam que o Microsoft Defender for Endpoint fornece cobertura comportamental para :

• Padrões de execução living-off-the-land
• Atividade suspeita de WebDAV e MSHTA
• Execução ofuscada de PowerShell
• Persistência via tarefas agendadas
• Execução de cargas maliciosas na memória
• Roubo de credenciais de navegador

O blog da Microsoft sobre o ClickFix para macOS, publicado em 5 de agosto de 2026, documentou que o Microsoft Defender for SmartScreen bloqueia a página web maliciosa, e o Defender XDR fornece cobertura de superfície sob mapeamentos específicos de táticas e técnicas . As detecções do Microsoft Defender Antivírus para a família de ameaças ClickFix mais ampla incluem nomes como Behavior:Win32/ClickFix, Trojan:Win32/ClickFix e Trojan:HTML/FakeCaptcha , embora assinaturas específicas para as injeções de JavaScript relacionadas à BNB Chain desta campanha tenham sido implantadas, mas não foram nomeadas individualmente no aviso público .