Hackers estão usando contratos da BNB Chain para disseminar malware através de sites comprometidos e prompts de CAPTCHA falsos, de acordo com um relatório da Microsoft Threat Intelligence.

Em uma publicação no X na quinta-feira, a Microsoft Threat Intelligence afirmou que a campanha utiliza EtherHiding, uma técnica que armazena instruções maliciosas em um contrato inteligente de blockchain. JavaScript injetado em sites comprometidos contata um gateway da BNB Chain e recupera comandos de um contrato previamente ligado ao ClearFake, uma campanha de malware que infecta sites legítimos.

Armazenar as instruções em uma rede blockchain as torna mais difíceis de remover. Apenas a carteira que controla o contrato pode alterar seu conteúdo, limitando a eficácia de remoções convencionais.

Visitantes de sites comprometidos veem um CAPTCHA falso que os instrui a abrir a caixa de diálogo Executar do Windows, colar texto da área de transferência e pressionar Enter. Ao fazer isso, um comando fornecido pelo invasor é executado.

O método, conhecido como ClickFix, depende das vítimas executarem o malware por conta própria. Uma variação chamada TerminalFix direciona os usuários para o Windows Terminal ou PowerShell.

“Esta campanha demonstra que ClickFix e TerminalFix são uma técnica de acesso inicial de alto volume”, escreveram os pesquisadores da Microsoft. “A Microsoft relata campanhas que visam milhares de dispositivos empresariais e de consumo globalmente todos os dias, enquanto algumas cadeias de malvertising podem direcionar visitantes para páginas de golpes.”

De acordo com a Microsoft, os hackers ocultam seus comandos e abusam de ferramentas legítimas do Windows, incluindo PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation e tarefas agendadas. Uma infecção bem-sucedida pode expor senhas, estabelecer acesso duradouro, ajudar os hackers a se moverem por uma rede e levar a ransomware ou a um comprometimento mais amplo da rede.

O uso de blockchains para suportar ataques de malware não é novidade.

Em 2016, o ransomware Cerber começou a usar transações de Bitcoin para encontrar seus servidores de comando e controle. De 2019 a 2021, a botnet Glupteba usou a blockchain do Bitcoin para localizar servidores de backup quando os principais ficaram offline.

Em setembro de 2023, a campanha de malware ClearFake começou a usar EtherHiding para recuperar código malicioso de contratos inteligentes da BNB Chain. Em abril de 2026, pesquisadores descobriram o Omnistealer usando TRON, Aptos e BNB Chain para ajudar a roubar credenciais, informações de contas na nuvem, senhas e dados de carteiras de criptomoedas.

Em outras palavras, o problema não é exclusivo da BNB Chain. Mas é notável que a equipe de ameaças da Microsoft tenha escolhido destacar o que parece ser um problema contínuo.

A notícia surge após a BNB Chain ter revelado planos em julho para uma nova blockchain de camada 1 construída para negociações de alta frequência, pagamentos automatizados e transações impulsionadas por IA. Uma testnet é esperada para o final de 2026, seguida por um lançamento da mainnet no início de 2027.

A Microsoft aconselhou as organizações a restringir ferramentas de linha de comando desnecessárias, habilitar o registro do PowerShell e usar controles de aplicativos.

“Os usuários nunca devem colar comandos de CAPTCHAs, erros de navegador, e-mails, anúncios ou páginas de suporte não solicitadas em Executar, Terminal, PowerShell ou Prompt de Comando”, disse a Microsoft.