微軟揭新型攻擊鏈：BNB Chain智能合約、假CAPTCHA、Windows Run一鍵中招

攻擊核心：EtherHiding技術——點解咁難搞？

傳統黑客用嘅係中央指揮伺服器（C2 server），執法人員或者網絡安全公司可以封鎖或者拉咗個伺服器。但呢次嘅攻擊用嘅係EtherHiding技術：

• 黑客將惡意指令直接寫入BNB Smart Chain嘅智能合約入面。
• 只有部署呢份合約嘅加密貨幣錢包主人先有權修改合約內容，其他人無辦法透過傳統下架或者封鎖方法清除條惡意指令。
• 呢個技術同之前嘅ClearFake惡意軟件行動有關聯，之前ClearFake係用假嘅瀏覽器更新提示嚟散毒。
• 微軟話每日有成千部企業同個人裝置中招。

中招步驟逐個睇：由正當網站到裝毒只需幾下Click

1. 入侵網站 – 黑客入侵正當網站（好多時係WordPress），喺網頁度插入一段用Base64編碼嘅JavaScript程式碼。
2. 查區塊鏈攞指令 – 呢段JavaScript會自動連去一個BNB Smart Chain嘅RPC閘道，然後讀取指定智能合約入面嘅下一階段惡意指令。
3. 顯示假CAPTCHA – 瀏覽器解碼堆指令後，喺螢幕上顯示一個假嘅CAPTCHA驗證畫面。
4. 社交工程（ClickFix / TerminalFix） – 畫面會指示你按Windows鍵+R打開「執行」對話框（或者打開Windows Terminal、PowerShell），然後將剪貼簿上嘅命令貼上去執行。呢一步係關鍵：受害者自己變咗幫凶，主動執行命令。
5. 裝毒 – 貼上去嗰條命令會自動下載並執行最終嘅惡意軟件。

黑客用咗邊啲Windows工具？

黑客鍾意用Windows內置嘅工具嚟避免被防毒軟件偵測，呢種手法叫「Living-off-the-Land」（就地取材）。今次用到嘅工具有：

• conhost – 命令執行嘅主控台
• PowerShell – 執行腳本同下載惡意軟件
• cmd（命令提示字元） – 直接執行命令
• mshta – 執行惡意HTA檔案
• rundll32 – 從命令列載入DLL
• curl – 下載下一階段嘅惡意程式
• WMI（Windows Management Instrumentation） – 橫向移動或者持續存在
• Windows Run對話框 – 最初嘅執行點（根據ClickFix誘餌）

呢啲都係正常Windows會用到嘅工具，所以傳統嘅端點防護有時會偵測唔到。

細路唔止一條：病毒家族一覽

呢個攻擊活動唔係單一病毒，而係一個多功能嘅散毒平台，可以傳播多款竊密同遠端控制木馬：

• Lumma Stealer – 最常見嘅病毒，專偷瀏覽器儲存嘅密碼、加密貨幣錢包賬密、登入Session Cookies等敏感資料。
• XWorm（Xworm） – 遠端存取木馬（RAT），可以偷嘢同下載更多惡意軟件。
• AsyncRAT – 開源嘅遠端存取木馬，用嚟監控、鍵盤記錄同偷登入憑證。
• MintsLoader – 下載器兼載入器，負責裝更多惡意軟件上機。
• 遠端管理工具 – 黑客會利用AnyDesk呢啲正當工具嚟保持權限同橫向移動。

一旦中招，黑客可以偷到登入資料、建立長期存取通道、喺網絡內部擴散，甚至最後發動勒索軟件攻擊。喺macOS系統方面，黑客亦有散播MacSync同Atomic Stealer呢啲惡意軟件。

微軟建議點樣防？

微軟威脅情報團隊畀咗以下實用建議：

1. 開啟Defender多層防護 – 確保即時防護、雲端雲保護同防篡改功能全部開啟。
2. 限制命令行工具 – 用AppLocker或者Windows Defender Application Control嚟封鎖未授權執行PowerShell、mshta、rundll32呢啲工具。
3. 啟用PowerShell腳本記錄 – 開啟Script Block Logging同記錄功能，幫手偵測隱藏執行命令嘅行為。
4. 用家要醒目（最重要嘅一步） – 絕對唔好喺「執行」、Terminal或者PowerShell入面貼上嚟自唔知邊度嘅命令！一個正常嘅CAPTCHA永遠唔會叫你打開呢啲嘢，更加唔會叫你貼嘢。
5. 封鎖智能合約RPC端點 – 如果可以，限制冇需要嘅電腦對外連去公開嘅BNB Smart Chain RPC閘道。
6. 用Microsoft Defender for SmartScreen – 呢個工具可以喺最初階段封鎖惡意網頁，防止你用家見到假CAPTCHA。

偵測與覆蓋

雖然微軟今次嘅公開警告冇列出全部Microsoft Defender Antivirus嘅偵測名稱，但相關嘅安全研究顯示Microsoft Defender for Endpoint可以透過行為分析嚟覆蓋：

• Living-off-the-land執行模式
• 可疑嘅WebDAV同MSHTA活動
• 混淆嘅PowerShell執行
• Scheduled Task持續性
• 記憶體內Payload執行
• 瀏覽器憑證偷取

微軟喺2026年8月5日發布嘅macOS ClickFix文章亦有記錄，Microsoft Defender for SmartScreen可以封鎖惡意網頁。針對ClickFix威脅家族，Microsoft Defender Antivirus嘅偵測名稱包括Behavior:Win32/ClickFix、Trojan:Win32/ClickFix同Trojan:HTML/FakeCaptcha。

總結

今次攻擊嘅最大特點係黑客用區塊鏈技術嚟避開傳統封鎖，加上社交工程呃用家自己執行命令。對於普通用家嚟講，最緊要嘅防禦方法係：見到CAPTCHA叫你按Win+R或者貼嘢去Terminal，即刻離開個網頁。