Хакери використовують контракти BNB Chain для розповсюдження шкідливих програм через скомпрометовані вебсайти та фальшиві запити CAPTCHA, згідно зі звітом Microsoft Threat Intelligence.

У дописі на X у четвер Microsoft Threat Intelligence повідомила, що кампанія використовує EtherHiding — техніку, яка зберігає шкідливі інструкції в смарт-контракті блокчейну. JavaScript, впроваджений у скомпрометовані вебсайти, контактує зі шлюзом BNB Chain і отримує команди з контракту, раніше пов'язаного з ClearFake, кампанією шкідливих програм, яка інфікує легітимні вебсайти.

Зберігання інструкцій у блокчейн-мережі ускладнює їх видалення. Лише гаманець, що контролює контракт, може змінювати його вміст, обмежуючи ефективність звичайних методів припинення роботи.

Відвідувачі скомпрометованих вебсайтів бачать фальшивий CAPTCHA, який просить їх відкрити діалогове вікно Windows Run, вставити текст з буфера обміну та натиснути Enter. Це запускає команду, надану зловмисником.

Метод, відомий як ClickFix, залежить від того, чи самі жертви виконують шкідливе програмне забезпечення. Варіант під назвою TerminalFix скеровує користувачів до Windows Terminal або PowerShell.

«Ця кампанія демонструє, що ClickFix та TerminalFix є високопродуктивною технікою початкового доступу», — написали дослідники Microsoft. «Microsoft повідомляє про кампанії, що щодня націлені на тисячі корпоративних і споживчих пристроїв по всьому світу, тоді як деякі рекламні мережі можуть направляти відвідувачів на шахрайські сторінки».

За даними Microsoft, хакери приховують свої команди та зловживають легітимними інструментами Windows, включаючи PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation та заплановані завдання. Успішне зараження може розкрити паролі, встановити постійний доступ, допомогти хакерам переміщатися мережею та призвести до програм-вимагачів або ширшої компрометації мережі.

Використання блокчейнів для підтримки шкідливих атак не є новим явищем.

У 2016 році програма-вимагач Cerber почала використовувати транзакції Bitcoin для пошуку своїх серверів управління. З 2019 по 2021 рік ботнет Glupteba використовував блокчейн Bitcoin для визначення місцезнаходження резервних серверів, коли його основні сервери відключалися.

У вересні 2023 року кампанія шкідливих програм ClearFake почала використовувати EtherHiding для отримання шкідливого коду зі смарт-контрактів BNB Chain. У квітні 2026 року дослідники виявили Omnistealer, який використовував TRON, Aptos та BNB Chain для викрадення облікових даних, інформації про хмарні акаунти, паролів та даних криптогаманців.

Іншими словами, проблема не є унікальною для BNB Chain. Але варто відзначити, що команда Microsoft з питань загроз вирішила висвітлити те, що, схоже, є постійною проблемою.

Ця новина з'явилася після того, як у липні BNB Chain оприлюднила плани щодо нового блокчейну першого рівня (layer-1), створеного для високочастотної торгівлі, автоматизованих платежів та транзакцій на основі ШІ. Очікується, що тестова мережа (testnet) буде запущена до кінця 2026 року, а основна мережа (mainnet) – на початку 2027 року.

Microsoft порадила організаціям обмежувати непотрібні інструменти командного рядка, вмикати журналювання PowerShell та використовувати засоби контролю програм.

«Користувачі ніколи не повинні вставляти команди з CAPTCHA, помилок браузера, електронних листів, реклами або небажаних сторінок підтримки в Run, Terminal, PowerShell або командний рядок», — заявили в Microsoft.