Как работает атака: техника EtherHiding

Ключевое новшество, делающее кампанию такой устойчивой, — техника EtherHiding. Вместо традиционного командного сервера, который можно отключить, злоумышленники хранят вредоносные инструкции прямо внутри смарт-контрактов BNB Smart Chain . Поскольку только кошелёк, развернувший контракт, может изменять его содержимое, удалить вредоносные инструкции традиционными методами практически невозможно . Эта кампания пересекается с известной операцией ClearFake, которая ранее использовала поддельные обновления браузера для распространения вредоносного ПО .

Цепочка заражения: от скомпрометированного сайта до вредоносной программы

Атака развивается по короткой последовательности шагов, эксплуатируя доверие пользователя и встроенные инструменты Windows:

1. Компрометация сайта — Злоумышленники взламывают легитимные сайты (часто на WordPress) и внедряют в них JavaScript, закодированный в Base64 .
2. Запрос к блокчейну — Внедрённый скрипт подключается к RPC-шлюзу BNB Smart Chain и запрашивает конкретный смарт-контракт для получения следующих вредоносных инструкций .
3. Поддельная CAPTCHA — Браузер декодирует полученные инструкции и отображает пользователю поддельную страницу верификации CAPTCHA .
4. Социальная инженерия (ClickFix/TerminalFix) — Пользователя просят нажать Win+R (чтобы открыть диалог «Выполнить») или открыть Терминал Windows / PowerShell, вставить команду из буфера обмена и выполнить её . Это ключевой трюк социальной инженерии: он делает жертву невольным участником заражения.
5. Запуск вредоносного ПО — Вставленная команда загружает и запускает финальную вредоносную нагрузку .

Эксплуатируемые инструменты Windows (Living-off-the-Land)

Чтобы избежать обнаружения, злоумышленники активно используют легитимные встроенные компоненты Windows — техника «Living-off-the-Land» (LOLBins) . В этой кампании замечены:

• conhost — хост консоли для выполнения команд
• PowerShell — выполнение скриптов и загрузка нагрузок
• cmd (Командная строка) — прямое выполнение команд
• mshta — запуск вредоносных HTA-файлов
• rundll32 — загрузка DLL через командную строку
• curl — загрузка нагрузок следующего этапа
• WMI (Инструментарий управления Windows) — для перемещения и закрепления
• Диалог «Выполнить» (Win+R) — начальная точка выполнения по схеме ClickFix

Использование этих доверенных компонентов Microsoft позволяет обходить многие традиционные средства защиты .

Распространяемые семейства вредоносного ПО

Кампания не ограничивается одним типом вредоносного ПО. Она служит механизмом доставки для ряда программ-похитителей информации и троянов удалённого доступа :

• Lumma Stealer — основная нагрузка, наблюдаемая во многих случаях . Он похищает пароли браузеров, данные криптовалютных кошельков, файлы cookie и другие конфиденциальные данные.
• XWorm — троян удалённого доступа (RAT), способный красть данные и загружать дополнительные нагрузки.
• AsyncRAT — троян удалённого доступа с открытым исходным кодом, используемый для слежки, кейлогинга и кражи учётных данных.
• MintsLoader — загрузчик, устанавливающий дополнительное вредоносное ПО на скомпрометированную систему.
• Инструменты удалённого управления — потенциально злоупотребление легитимными средствами (например, AnyDesk) для сохранения доступа и перемещения по сети.

Успешное выполнение атаки может привести к краже учётных данных, созданию постоянного доступа, перемещению по сети и, в конечном счёте, к развёртыванию программ-вымогателей . На системах macOS кампания также доставляет MacSync и Atomic Stealer .

Рекомендации Microsoft по защите

Microsoft дала несколько практических рекомендаций для защиты от этой кампании :

1. Включите многоуровневую защиту в Microsoft Defender — убедитесь, что активны защита в реальном времени, облачная защита и защита от несанкционированного доступа.
2. Ограничьте инструменты командной строки — используйте AppLocker или Windows Defender Application Control (WDAC), чтобы заблокировать недоверенное выполнение PowerShell, mshta и rundll32.
3. Включите логирование скриптов PowerShell — включите ведение журнала блоков скриптов и транскрипцию для обнаружения попыток выполнения обфусцированных команд.
4. Осведомлённость пользователей (самый важный шаг) — никогда не вставляйте команды из неизвестных источников в диалог «Выполнить», Терминал или PowerShell. Настоящая CAPTCHA никогда не потребует от пользователя выполнения таких действий.
5. Блокируйте RPC-шлюзы смарт-контрактов — где это возможно, ограничьте исходящий доступ к публичным RPC-шлюзам BNB Smart Chain на устройствах, которым не требуется доступ к блокчейну.
6. Используйте Microsoft Defender for SmartScreen — этот инструмент помогает блокировать вредоносные веб-страницы на этапе начального доступа, не давая пользователю увидеть поддельную CAPTCHA .

Обнаружение и покрытие

Хотя в публичном предупреждении Microsoft не был предоставлен исчерпывающий список конкретных названий обнаружений Microsoft Defender Antivirus для этой кампании , связанные исследования в области безопасности за июль-август 2026 года показывают, что Microsoft Defender for Endpoint обеспечивает поведенческое покрытие для :

• Шаблонов выполнения Living-off-the-land
• Подозрительной активности WebDAV и MSHTA
• Выполнения обфусцированных скриптов PowerShell
• Постоянства через запланированные задачи
• Выполнения нагрузок в памяти
• Кражи учётных данных браузера

В блоге Microsoft о macOS ClickFix от 5 августа 2026 года сообщалось, что Microsoft Defender for SmartScreen блокирует вредоносную веб-страницу, а Defender XDR обеспечивает поверхностное покрытие по определённым тактикам и техникам . Обнаружения Microsoft Defender Antivirus для более широкого семейства угроз ClickFix включают имена Behavior:Win32/ClickFix, Trojan:Win32/ClickFix и Trojan:HTML/FakeCaptcha , хотя конкретные сигнатуры для связанных с BNB Chain инъекций JavaScript в этой кампании были развёрнуты, но не названы в публичном предупреждении .

Как работает атака: техника EtherHiding

Ключевое новшество, делающее кампанию такой устойчивой, — техника EtherHiding. Вместо традиционного командного сервера, который можно отключить, злоумышленники хранят вредоносные инструкции прямо внутри смарт-контрактов BNB Smart Chain . Поскольку только кошелёк, развернувший контракт, может изменять его содержимое, удалить вредоносные инструкции традиционными методами практически невозможно . Эта кампания пересекается с известной операцией ClearFake, которая ранее использовала поддельные обновления браузера для распространения вредоносного ПО .

Цепочка заражения: от скомпрометированного сайта до вредоносной программы

Атака развивается по короткой последовательности шагов, эксплуатируя доверие пользователя и встроенные инструменты Windows:

1. Компрометация сайта — Злоумышленники взламывают легитимные сайты (часто на WordPress) и внедряют в них JavaScript, закодированный в Base64 .
2. Запрос к блокчейну — Внедрённый скрипт подключается к RPC-шлюзу BNB Smart Chain и запрашивает конкретный смарт-контракт для получения следующих вредоносных инструкций .
3. Поддельная CAPTCHA — Браузер декодирует полученные инструкции и отображает пользователю поддельную страницу верификации CAPTCHA .
4. Социальная инженерия (ClickFix/TerminalFix) — Пользователя просят нажать Win+R (чтобы открыть диалог «Выполнить») или открыть Терминал Windows / PowerShell, вставить команду из буфера обмена и выполнить её . Это ключевой трюк социальной инженерии: он делает жертву невольным участником заражения.
5. Запуск вредоносного ПО — Вставленная команда загружает и запускает финальную вредоносную нагрузку .

Эксплуатируемые инструменты Windows (Living-off-the-Land)

Чтобы избежать обнаружения, злоумышленники активно используют легитимные встроенные компоненты Windows — техника «Living-off-the-Land» (LOLBins) . В этой кампании замечены:

• conhost — хост консоли для выполнения команд
• PowerShell — выполнение скриптов и загрузка нагрузок
• cmd (Командная строка) — прямое выполнение команд
• mshta — запуск вредоносных HTA-файлов
• rundll32 — загрузка DLL через командную строку
• curl — загрузка нагрузок следующего этапа
• WMI (Инструментарий управления Windows) — для перемещения и закрепления
• Диалог «Выполнить» (Win+R) — начальная точка выполнения по схеме ClickFix

Использование этих доверенных компонентов Microsoft позволяет обходить многие традиционные средства защиты .

Распространяемые семейства вредоносного ПО

Кампания не ограничивается одним типом вредоносного ПО. Она служит механизмом доставки для ряда программ-похитителей информации и троянов удалённого доступа :

• Lumma Stealer — основная нагрузка, наблюдаемая во многих случаях . Он похищает пароли браузеров, данные криптовалютных кошельков, файлы cookie и другие конфиденциальные данные.
• XWorm — троян удалённого доступа (RAT), способный красть данные и загружать дополнительные нагрузки.
• AsyncRAT — троян удалённого доступа с открытым исходным кодом, используемый для слежки, кейлогинга и кражи учётных данных.
• MintsLoader — загрузчик, устанавливающий дополнительное вредоносное ПО на скомпрометированную систему.
• Инструменты удалённого управления — потенциально злоупотребление легитимными средствами (например, AnyDesk) для сохранения доступа и перемещения по сети.

Успешное выполнение атаки может привести к краже учётных данных, созданию постоянного доступа, перемещению по сети и, в конечном счёте, к развёртыванию программ-вымогателей . На системах macOS кампания также доставляет MacSync и Atomic Stealer .

Рекомендации Microsoft по защите

Microsoft дала несколько практических рекомендаций для защиты от этой кампании :

1. Включите многоуровневую защиту в Microsoft Defender — убедитесь, что активны защита в реальном времени, облачная защита и защита от несанкционированного доступа.
2. Ограничьте инструменты командной строки — используйте AppLocker или Windows Defender Application Control (WDAC), чтобы заблокировать недоверенное выполнение PowerShell, mshta и rundll32.
3. Включите логирование скриптов PowerShell — включите ведение журнала блоков скриптов и транскрипцию для обнаружения попыток выполнения обфусцированных команд.
4. Осведомлённость пользователей (самый важный шаг) — никогда не вставляйте команды из неизвестных источников в диалог «Выполнить», Терминал или PowerShell. Настоящая CAPTCHA никогда не потребует от пользователя выполнения таких действий.
5. Блокируйте RPC-шлюзы смарт-контрактов — где это возможно, ограничьте исходящий доступ к публичным RPC-шлюзам BNB Smart Chain на устройствах, которым не требуется доступ к блокчейну.
6. Используйте Microsoft Defender for SmartScreen — этот инструмент помогает блокировать вредоносные веб-страницы на этапе начального доступа, не давая пользователю увидеть поддельную CAPTCHA .

Обнаружение и покрытие

Хотя в публичном предупреждении Microsoft не был предоставлен исчерпывающий список конкретных названий обнаружений Microsoft Defender Antivirus для этой кампании , связанные исследования в области безопасности за июль-август 2026 года показывают, что Microsoft Defender for Endpoint обеспечивает поведенческое покрытие для :

• Шаблонов выполнения Living-off-the-land
• Подозрительной активности WebDAV и MSHTA
• Выполнения обфусцированных скриптов PowerShell
• Постоянства через запланированные задачи
• Выполнения нагрузок в памяти
• Кражи учётных данных браузера

В блоге Microsoft о macOS ClickFix от 5 августа 2026 года сообщалось, что Microsoft Defender for SmartScreen блокирует вредоносную веб-страницу, а Defender XDR обеспечивает поверхностное покрытие по определённым тактикам и техникам . Обнаружения Microsoft Defender Antivirus для более широкого семейства угроз ClickFix включают имена Behavior:Win32/ClickFix, Trojan:Win32/ClickFix и Trojan:HTML/FakeCaptcha , хотя конкретные сигнатуры для связанных с BNB Chain инъекций JavaScript в этой кампании были развёрнуты, но не названы в публичном предупреждении .