微软紧急警告：黑客利用 BNB 智能合约与虚假验证码，每日发动数千次恶意攻击

攻击的核心：EtherHiding 技术

该攻击之所以极难被中断，关键在于其使用的 EtherHiding 技术。攻击者不再依赖传统的“命令与控制（C2）”服务器，而是直接将恶意指令嵌入 BNB 智能链的智能合约中 。由于智能合约的唯一修改权限属于部署该合约的加密钱包拥有者，因此安全团队和执法机构无法通过传统的下架、阻断或封禁等方式清除其中的恶意内容 。本次攻击行动与此前利用虚假浏览器更新提示传播病毒的 ClearFake 恶意软件操作有关 。

感染链条：从被篡改的网站到恶意软件

攻击链的步骤相对简短，但巧妙地利用了用户对系统工具（如“运行”对话框、PowerShell）的习惯性信任：

1. 网站被入侵 – 攻击者入侵合法网站（多为 WordPress 建站），向页面中注入经过 Base64 编码的 JavaScript 代码 。
2. 查询区块链 – 注入的脚本连接至一个 BNB 智能链的 RPC 网关，并从特定智能合约中获取下一阶段的恶意指令 。
3. 展示虚假验证码 – 浏览器解码获取到的指令，并向用户展示一个仿造的 CAPTCHA 验证页面 。
4. 社交工程（ClickFix/TerminalFix） – 页面指示用户按下 Windows+R 组合键打开“运行”对话框（或打开终端/PowerShell），然后从剪贴板粘贴攻击者已事先复制好的命令并执行 。这是最关键的一步：它让用户在不知情的情况下成为了感染过程的“帮凶”。
5. 恶意软件执行 – 粘贴运行的命令会下载并执行最终的恶意软件载荷 。

被滥用的 Windows 系统工具（Living-off-the-Land）

为了逃避检测，攻击者大量滥用了 Windows 系统自带的合法组件——这种手法被称为“就地取材（Living-off-the-Land，简称 LOLBins）” 。本次攻击中观察到的工具包括：

• conhost – 控制台主机，用于执行命令
• PowerShell – 脚本执行与载荷下载
• cmd（命令提示符）– 直接执行命令
• mshta – 运行恶意 HTA 文件
• rundll32 – 通过命令行加载 DLL 文件
• curl – 下载下一阶段载荷
• WMI（Windows Management Instrumentation）– 用于横向移动或持久化
• Windows 运行对话框 – 根据 ClickFix 诱饵，这是初始执行的入口

由于这些均为微软官方组件，安全软件通常不会将其标记为恶意，因此攻击者借此避开了大量传统端点防御 。

恶意软件家族与危害

该攻击行动并不局限于某一种恶意软件，而是作为多种信息窃取型和远程访问木马的投递渠道 ：

• Lumma Stealer – 目前观察到的主要载荷 ，专门窃取浏览器密码、加密货币钱包凭证、会话 Cookie 等敏感数据。
• XWorm（Xworm） – 远程访问木马，具备数据窃取和下载其他载荷的能力。
• AsyncRAT – 一款开源的远程访问木马，用于监视、键盘记录和凭证窃取。
• MintsLoader – 下载器/加载器，负责在被感染系统上安装其他恶意软件。
• 远程管理工具 – 被滥用的合法远程桌面工具，用于持久化和横向移动。

一旦成功执行，可能导致用户凭证泄露、攻击者建立持久化访问、内网横向移动，甚至最终触发勒索软件攻击 。在 macOS 系统上，该攻击还被观测到投递了 MacSync 和 Atomic Stealer 。

微软推荐的防御措施

微软在公告中提出了若干实用建议 ：

1. 开启微软 Defender 的多层防护 – 确保实时保护、云端保护及防篡改保护功能全部开启。
2. 限制命令行工具的使用 – 使用 AppLocker 或 Windows Defender 应用程序控制（WDAC）阻止 PowerShell、mshta、rundll32 等工具的未授权执行。
3. 启用 PowerShell 脚本日志记录 – 开启脚本块日志记录和脚本转录功能，用于检测混淆后的命令执行行为。
4. 用户安全教育（最关键的一步） – 绝不要在任何 CAPTCHA 验证页面、网页报错信息、邮件或广告的提示下，在“运行”对话框、终端或 PowerShell 中粘贴并执行任何命令。一个正常的验证码绝不会要求用户执行此类操作。
5. 阻断智能合约 RPC 端点 – 在可行的情况下，限制企业终端设备对公共 BNB 智能链 RPC 网关的出站访问。
6. 使用 Microsoft Defender for SmartScreen – 该功能可在初始访问阶段拦截恶意网页，防止用户看到虚假 CAPTCHA 页面 。

检测与覆盖

微软的公开公告并未列出本次攻击专有的 Microsoft Defender 防病毒检测名称列表 ，但根据微软安全团队在 2026 年 7 月至 8 月发布的相关系列报告 ，Microsoft Defender for Endpoint 可通过行为分析覆盖以下攻击模式：

• “就地取材（Living-off-the-Land）”执行模式
• 可疑的 WebDAV 和 MSHTA 活动
• 混淆的 PowerShell 执行
• 计划任务持久化
• 内存载荷执行
• 浏览器凭证窃取

微软于 2026 年 8 月 5 日发布的 macOS ClickFix 博客 指出，Microsoft Defender for SmartScreen 可有效拦截恶意网页，Defender XDR 也提供了基于战术和技术映射的表面覆盖。针对此次攻击中涉及 BNB 链的 JavaScript 注入，微软表示相关签名已经部署，但未在公开警告中逐一列出具体名称 。

一句话总结：正常的 CAPTCHA 验证码永远不会要求你按下“Win + R”然后粘贴任何东西。看到这样的指示，请立即关闭网页。