Peretas menggunakan kontrak BNB Chain untuk menyebarkan malware melalui situs web yang disusupi dan prompt CAPTCHA palsu, menurut laporan dari Microsoft Threat Intelligence.
Dalam sebuah unggahan di X pada hari Kamis, Microsoft Threat Intelligence mengatakan kampanye tersebut menggunakan EtherHiding, sebuah teknik yang menyimpan instruksi berbahaya dalam kontrak pintar blockchain. JavaScript yang disuntikkan ke situs web yang disusupi menghubungi gateway BNB Chain dan mengambil perintah dari kontrak yang sebelumnya terhubung ke ClearFake, sebuah kampanye malware yang menginfeksi situs web resmi.
Menyimpan instruksi di jaringan blockchain membuatnya lebih sulit untuk dihapus. Hanya dompet yang mengendalikan kontrak yang dapat mengubah isinya, membatasi efektivitas penarikan konvensional.
Pengunjung situs web yang disusupi melihat CAPTCHA palsu yang memerintahkan mereka untuk membuka dialog Windows Run, menempelkan teks dari clipboard mereka, dan menekan Enter. Melakukan hal tersebut akan menjalankan perintah yang diberikan oleh penyerang.
Metode ini, dikenal sebagai ClickFix, bergantung pada korban yang menjalankan malware itu sendiri. Sebuah variasi yang disebut TerminalFix mengarahkan pengguna ke Windows Terminal atau PowerShell.
“Kampanye ini menunjukkan bahwa ClickFix dan TerminalFix adalah teknik akses awal bervolume tinggi,” tulis peneliti Microsoft. “Microsoft melaporkan kampanye yang menargetkan ribuan perangkat perusahaan dan konsumen secara global setiap hari, sementara beberapa rantai malvertising dapat mengarahkan pengunjung ke halaman penipuan.”
Menurut Microsoft, peretas menyembunyikan perintah mereka dan menyalahgunakan alat Windows yang sah, termasuk PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation, dan scheduled tasks. Infeksi yang berhasil dapat mengekspos kata sandi, membangun akses berkelanjutan, membantu peretas bergerak melalui jaringan, dan menyebabkan ransomware atau kompromi jaringan yang lebih luas.
Penggunaan blockchain untuk mendukung serangan malware bukanlah hal baru.
Pada tahun 2016, ransomware Cerber mulai menggunakan transaksi Bitcoin untuk menemukan server command-and-control-nya. Dari 2019 hingga 2021, botnet Glupteba menggunakan blockchain Bitcoin untuk menemukan server cadangan ketika server utamanya offline.
Pada September 2023, kampanye malware ClearFake mulai menggunakan EtherHiding untuk mengambil kode berbahaya dari kontrak pintar BNB Chain. Pada April 2026, peneliti menemukan Omnistealer menggunakan TRON, Aptos, dan BNB Chain untuk membantu mencuri kredensial, informasi akun cloud, kata sandi, dan data dompet kripto.
Dengan kata lain, masalah ini tidak hanya terjadi pada BNB Chain. Namun patut dicatat bahwa tim ancaman Microsoft telah memilih untuk menyoroti apa yang tampaknya menjadi masalah berkelanjutan.
Berita ini datang setelah BNB Chain pada bulan Juli meluncurkan rencana untuk blockchain layer-1 baru yang dibangun untuk perdagangan frekuensi tinggi, pembayaran otomatis, dan transaksi berbasis AI. Testnet diperkirakan akan hadir pada akhir tahun 2026, diikuti dengan peluncuran mainnet pada awal tahun 2027.
Microsoft menyarankan organisasi untuk membatasi alat baris perintah yang tidak perlu, mengaktifkan pencatatan PowerShell, dan menggunakan kontrol aplikasi.
“Pengguna tidak boleh menempelkan perintah dari CAPTCHA, kesalahan browser, email, iklan, atau halaman dukungan yang tidak diminta ke Run, Terminal, PowerShell, atau Command prompt,” kata Microsoft.
