Hur attacken fungerar: EtherHiding-tekniken

Det centrala i kampanjen – och anledningen till att den är så svår att stoppa – är EtherHiding. Istället för att förlita sig på en traditionell kommando- och kontrollserver som kan stängas ned, lagrar angriparna sina skadliga instruktioner direkt i smarta kontrakt på BNB Smart Chain . Eftersom endast plånboksadressen som skapade kontraktet kan ändra innehållet, är det praktiskt taget omöjligt att ta bort instruktionerna genom traditionella metoder som blockering eller nedstängning . Kampanjen överlappar med ClearFake, som tidigare använde fejkade webbläsaruppdateringar för att sprida malware .

Smittokedjan: Från komprometterad webbplats till malware

Attacken följer en kort sekvens av steg som utnyttjar användarnas förtroende och inbyggda Windows-verktyg:

1. Webbplatsen komprometteras – Angripare tar sig in på legitima webbplatser (ofta WordPress) och injicerar Base64-kodad JavaScript i sidan .
2. Blockkedjefråga – Skriptet ansluter till en BNB Smart Chain RPC-gateway och frågar ett specifikt smart kontrakt för att hämta nästa stegs instruktioner .
3. Falsk CAPTCHA – Webbläsaren avkodar instruktionerna och visar en förfalskad CAPTCHA-verifieringssida .
4. Social manipulation (ClickFix/TerminalFix) – Användaren uppmanas att trycka Windows+R för att öppna dialogrutan Kör (eller öppna Windows Terminal eller PowerShell), klistra in kommandot från urklipp och köra det . Detta är det centrala tricket: offret blir själv en del av infektionen.
5. Malware exekveras – Kommandot laddar ner och kör den slutgiltiga skadliga koden .

Missbrukade Windows-verktyg (Living-off-the-Land)

För att undvika upptäckt missbrukar angriparna i stor utsträckning legitima, inbyggda Windows-komponenter – en teknik som kallas "living-off-the-land" (LOLBins) . Verktyg som observerats i kampanjen inkluderar:

• conhost – Konsolvärd för kommandokörning
• PowerShell – Skriptkörning och nedladdning av skadlig kod
• cmd (Kommandotolken) – Direkt kommandokörning
• mshta – Körning av skadliga HTA-filer
• rundll32 – Inläsning av DLL:er via kommandoraden
• curl – Nedladdning av nästa stegs skadlig kod
• WMI (Windows Management Instrumentation) – För sidledes rörelse eller uthållighet
• Windows Kör-dialogruta – Den initiala exekveringspunkten enligt ClickFix-beteendet

Genom att använda dessa betrodda Microsoft-komponenter kan angriparna kringgå många traditionella endpoint-skydd .

Malware-familjer som levereras

Kampanjen är inte begränsad till en enda typ av skadlig kod. Den fungerar som en distributionsmekanism för en rad informationsstöldande trojaner och fjärråtkomsttrojaner :

• Lumma Stealer – Den vanligast förekommande skadliga koden . Den stjäl webbläsarlösenord, kryptovaluta-plånboksuppgifter, sessionscookies och annan känslig data.
• XWorm (Xworm) – En fjärråtkomsttrojan (RAT) som kan stjäla data och ladda ner ytterligare skadlig kod.
• AsyncRAT – En öppen källkods-RAT som används för övervakning, tangentloggning och stöld av inloggningsuppgifter.
• MintsLoader – En nedladdare som installerar ytterligare malware på det komprometterade systemet.
• Fjärradministrationsverktyg – Potentiellt missbrukade legitima verktyg (t.ex. AnyDesk, skärmdelningsprogram) för uthållighet och sidledes rörelse.

En lyckad attack kan leda till exponering av inloggningsuppgifter, etablering av ihållande åtkomst, sidledes rörelse inom nätverket och i slutändan utpressningsattacker . På macOS-system har kampanjen också observerats leverera MacSync och Atomic Stealer .

Microsofts rekommenderade skyddsåtgärder

Microsoft har utfärdat flera praktiska rekommendationer för att skydda sig mot denna kampanj :

1. Aktivera flerskiktsskydd i Microsoft Defender – Se till att realtidsskydd, molnlevererat skydd och manipuleringsskydd är aktiva.
2. Begränsa kommandoradsverktyg – Använd AppLocker eller Windows Defender Application Control (WDAC) för att blockera oönskad körning av verktyg som PowerShell, mshta och rundll32.
3. Aktivera PowerShell-skriptloggning – Slå på skriptblocksloggning och transkribering för att upptäcka försök att köra dolda kommandon.
4. Användarmedvetenhet (det viktigaste steget) – Klistra aldrig in kommandon från okända eller overifierade källor i dialogrutan Kör, terminalen eller PowerShell. En legitim CAPTCHA kommer aldrig att instruera användaren att utföra sådana åtgärder.
5. Blockera RPC-ändpunkter för smarta kontrakt – Där det är möjligt, begränsa utgående anslutningar till offentliga BNB Smart Chain RPC-gateways från enheter som inte behöver blockkedjeåtkomst.
6. Använd Microsoft Defender för SmartScreen – Detta verktyg hjälper till att blockera skadliga webbsidor redan vid första kontakten, vilket hindrar användaren från att någonsin se den falska CAPTCHAn .

Detektion och täckning

Den offentliga varningen från Microsoft specificerade inte alla detektionsnamn från Microsoft Defender Antivirus för just denna kampanj . Relaterad säkerhetsforskning från juli och augusti 2026 visar dock att Microsoft Defender för Endpoint ger beteendebaserad täckning för :

• Living-off-the-land-exekveringsmönster
• Misstänkt WebDAV- och MSHTA-aktivitet
• Dolda PowerShell-exekveringar
• Schemalagd uppgiftsuthållighet
• Exekvering av skadlig kod i minnet
• Stöld av webbläsaruppgifter

macOS ClickFix-bloggen som publicerades av Microsoft den 5 augusti 2026 dokumenterade att Microsoft Defender för SmartScreen blockerar den skadliga webbsidan, och Defender XDR ger yttäckande täckning under specifika taktik- och teknikmappningar . Microsoft Defender Antivirus-detektioner för den bredare ClickFix-hotfamiljen inkluderar namn som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix och Trojan:HTML/FakeCaptcha , även om specifika signaturer för denna kampanjs BNB Chain-relaterade JavaScript-injektioner distribuerats men inte namngivits i den offentliga varningen .

Hur attacken fungerar: EtherHiding-tekniken

Det centrala i kampanjen – och anledningen till att den är så svår att stoppa – är EtherHiding. Istället för att förlita sig på en traditionell kommando- och kontrollserver som kan stängas ned, lagrar angriparna sina skadliga instruktioner direkt i smarta kontrakt på BNB Smart Chain . Eftersom endast plånboksadressen som skapade kontraktet kan ändra innehållet, är det praktiskt taget omöjligt att ta bort instruktionerna genom traditionella metoder som blockering eller nedstängning . Kampanjen överlappar med ClearFake, som tidigare använde fejkade webbläsaruppdateringar för att sprida malware .

Smittokedjan: Från komprometterad webbplats till malware

Attacken följer en kort sekvens av steg som utnyttjar användarnas förtroende och inbyggda Windows-verktyg:

1. Webbplatsen komprometteras – Angripare tar sig in på legitima webbplatser (ofta WordPress) och injicerar Base64-kodad JavaScript i sidan .
2. Blockkedjefråga – Skriptet ansluter till en BNB Smart Chain RPC-gateway och frågar ett specifikt smart kontrakt för att hämta nästa stegs instruktioner .
3. Falsk CAPTCHA – Webbläsaren avkodar instruktionerna och visar en förfalskad CAPTCHA-verifieringssida .
4. Social manipulation (ClickFix/TerminalFix) – Användaren uppmanas att trycka Windows+R för att öppna dialogrutan Kör (eller öppna Windows Terminal eller PowerShell), klistra in kommandot från urklipp och köra det . Detta är det centrala tricket: offret blir själv en del av infektionen.
5. Malware exekveras – Kommandot laddar ner och kör den slutgiltiga skadliga koden .

Missbrukade Windows-verktyg (Living-off-the-Land)

För att undvika upptäckt missbrukar angriparna i stor utsträckning legitima, inbyggda Windows-komponenter – en teknik som kallas "living-off-the-land" (LOLBins) . Verktyg som observerats i kampanjen inkluderar:

• conhost – Konsolvärd för kommandokörning
• PowerShell – Skriptkörning och nedladdning av skadlig kod
• cmd (Kommandotolken) – Direkt kommandokörning
• mshta – Körning av skadliga HTA-filer
• rundll32 – Inläsning av DLL:er via kommandoraden
• curl – Nedladdning av nästa stegs skadlig kod
• WMI (Windows Management Instrumentation) – För sidledes rörelse eller uthållighet
• Windows Kör-dialogruta – Den initiala exekveringspunkten enligt ClickFix-beteendet

Genom att använda dessa betrodda Microsoft-komponenter kan angriparna kringgå många traditionella endpoint-skydd .

Malware-familjer som levereras

Kampanjen är inte begränsad till en enda typ av skadlig kod. Den fungerar som en distributionsmekanism för en rad informationsstöldande trojaner och fjärråtkomsttrojaner :

• Lumma Stealer – Den vanligast förekommande skadliga koden . Den stjäl webbläsarlösenord, kryptovaluta-plånboksuppgifter, sessionscookies och annan känslig data.
• XWorm (Xworm) – En fjärråtkomsttrojan (RAT) som kan stjäla data och ladda ner ytterligare skadlig kod.
• AsyncRAT – En öppen källkods-RAT som används för övervakning, tangentloggning och stöld av inloggningsuppgifter.
• MintsLoader – En nedladdare som installerar ytterligare malware på det komprometterade systemet.
• Fjärradministrationsverktyg – Potentiellt missbrukade legitima verktyg (t.ex. AnyDesk, skärmdelningsprogram) för uthållighet och sidledes rörelse.

En lyckad attack kan leda till exponering av inloggningsuppgifter, etablering av ihållande åtkomst, sidledes rörelse inom nätverket och i slutändan utpressningsattacker . På macOS-system har kampanjen också observerats leverera MacSync och Atomic Stealer .

Microsofts rekommenderade skyddsåtgärder

Microsoft har utfärdat flera praktiska rekommendationer för att skydda sig mot denna kampanj :

1. Aktivera flerskiktsskydd i Microsoft Defender – Se till att realtidsskydd, molnlevererat skydd och manipuleringsskydd är aktiva.
2. Begränsa kommandoradsverktyg – Använd AppLocker eller Windows Defender Application Control (WDAC) för att blockera oönskad körning av verktyg som PowerShell, mshta och rundll32.
3. Aktivera PowerShell-skriptloggning – Slå på skriptblocksloggning och transkribering för att upptäcka försök att köra dolda kommandon.
4. Användarmedvetenhet (det viktigaste steget) – Klistra aldrig in kommandon från okända eller overifierade källor i dialogrutan Kör, terminalen eller PowerShell. En legitim CAPTCHA kommer aldrig att instruera användaren att utföra sådana åtgärder.
5. Blockera RPC-ändpunkter för smarta kontrakt – Där det är möjligt, begränsa utgående anslutningar till offentliga BNB Smart Chain RPC-gateways från enheter som inte behöver blockkedjeåtkomst.
6. Använd Microsoft Defender för SmartScreen – Detta verktyg hjälper till att blockera skadliga webbsidor redan vid första kontakten, vilket hindrar användaren från att någonsin se den falska CAPTCHAn .

Detektion och täckning

Den offentliga varningen från Microsoft specificerade inte alla detektionsnamn från Microsoft Defender Antivirus för just denna kampanj . Relaterad säkerhetsforskning från juli och augusti 2026 visar dock att Microsoft Defender för Endpoint ger beteendebaserad täckning för :

• Living-off-the-land-exekveringsmönster
• Misstänkt WebDAV- och MSHTA-aktivitet
• Dolda PowerShell-exekveringar
• Schemalagd uppgiftsuthållighet
• Exekvering av skadlig kod i minnet
• Stöld av webbläsaruppgifter

macOS ClickFix-bloggen som publicerades av Microsoft den 5 augusti 2026 dokumenterade att Microsoft Defender för SmartScreen blockerar den skadliga webbsidan, och Defender XDR ger yttäckande täckning under specifika taktik- och teknikmappningar . Microsoft Defender Antivirus-detektioner för den bredare ClickFix-hotfamiljen inkluderar namn som Behavior:Win32/ClickFix, Trojan:Win32/ClickFix och Trojan:HTML/FakeCaptcha , även om specifika signaturer för denna kampanjs BNB Chain-relaterade JavaScript-injektioner distribuerats men inte namngivits i den offentliga varningen .