Hacker nutzen die BNB Chain, um Malware über gefälschte CAPTCHAs zu verbreiten
Wichtige Erkenntnisse
- •Hacker speichern Malware-Anweisungen in Smart Contracts der BNB Smart Chain mit einer Technik namens EtherHiding, wodurch sich der schädliche Inhalt herkömmlichen Takedowns entzieht.
- •Die Kampagne setzt auf gefälschte CAPTCHA-Aufforderungen, die Website-Besucher dazu verleiten, schädliche Befehle direkt in Windows-Tools wie PowerShell und den Ausführen-Dialog einzufügen.
- •Microsoft berichtet, dass diese ClickFix-Social-Engineering-Methode täglich Tausende Unternehmens- und Verbrauchergeräte weltweit angreift.
- •Erfolgreiche Infektionen können Passwörter offenlegen, dauerhaften Netzwerkzugriff schaffen, laterale Bewegungen erleichtern und möglicherweise zur Ausbringung von Ransomware oder zu einer weitergehenden Kompromittierung führen.
- •Blockchain-basierte Malware-Verbreitung ist bereits auf mehreren Netzwerken belegt, darunter Cerber-Ransomware über Bitcoin im Jahr 2016 und Omnistealer über TRON, Aptos und BNB Chain im Jahr 2026.
Hacker verwenden BNB Smart Chain Contracts, um Malware-Anweisungen zu speichern.
Gefälschte CAPTCHA-Eingaben fordern Opfer dazu auf, schädliche Befehle in Windows-Tools einzufügen.
Erfolgreiche Angriffe können Zugangsdaten stehlen und Hackern dauerhaften Zugriff auf Unternehmensnetzwerke verschaffen.
Hacker nutzen BNB-Chain-Contracts, um Malware über kompromittierte Websites und gefälschte CAPTCHA-Aufforderungen zu verbreiten, wie aus einem Bericht von Microsoft Threat Intelligence hervorgeht.
In einem Post auf X am Donnerstag erklärte Microsoft Threat Intelligence, dass die Kampagne EtherHiding verwendet, eine Technik, die schädliche Anweisungen in einem Blockchain-Smart-Contract speichert. In kompromittierte Websites eingeschleustes JavaScript kontaktiert ein BNB-Chain-Gateway und ruft Befehle aus einem Contract ab, der zuvor mit ClearFake in Verbindung gebracht wurde, einer Malware-Kampagne, die legitime Websites infiziert.
Das Speichern der Anweisungen auf einem Blockchain-Netzwerk macht sie schwerer zu entfernen. Nur die Wallet, die den Contract kontrolliert, kann dessen Inhalt ändern, was die Wirksamkeit herkömmlicher Takedowns begrenzt. Öffentliche Blockchain-Netzwerke bieten außerdem mehrere Zugriffspunkte, die nicht einzeln blockiert werden können, da jeder einen Contract über verschiedene RPC-Anbieter abfragen oder einen eigenen Node betreiben kann.
Besucher kompromittierter Websites sehen ein gefälschtes CAPTCHA, das sie auffordert, den Windows-Dialog „Ausführen“ zu öffnen, Text aus der Zwischenablage einzufügen und Enter zu drücken. Dadurch wird ein vom Angreifer bereitgestellter Befehl ausgeführt.
Die als ClickFix bekannte Methode beruht darauf, dass die Opfer die Malware selbst ausführen. Eine Variante namens TerminalFix leitet Nutzer zu Windows Terminal oder PowerShell weiter. ClickFix-artiges Social Engineering wurde bei mehreren Cybercrime-Operationen dokumentiert, wobei Angreifer Verifizierungsseiten, Software-Updates und Fehlermeldungen imitieren, um Nutzer zur Ausführung von Code zu verleiten.
„Diese Kampagne zeigt, dass ClickFix und TerminalFix eine Technik für den Erstzugriff mit hohem Volumen sind“, schrieben Microsoft-Forscher. „Microsoft meldet täglich Kampagnen, die weltweit Tausende Unternehmens- und Verbrauchergeräte anvisieren, während einige Malvertising-Ketten Besucher auf Betrugsseiten lenken können.“
Laut Microsoft verbergen Hacker ihre Befehle und missbrauchen legitime Windows-Tools, darunter PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation und geplante Aufgaben. Eine erfolgreiche Infektion kann Passwörter offenlegen, dauerhaften Zugriff ermöglichen, Hackern helfen, sich durch ein Netzwerk zu bewegen, und zu Ransomware oder einer weitergehenden Kompromittierung des Netzwerks führen.
Der Einsatz von Blockchains zur Unterstützung von Malware-Angriffen ist nicht neu.
2016 begann die Ransomware Cerber, Bitcoin-Transaktionen zu verwenden, um ihre Command-and-Control-Server zu finden. Von 2019 bis 2021 nutzte das Botnetz Glupteba die Bitcoin-Blockchain, um Backup-Server zu lokalisieren, wenn die Hauptserver offline gingen.
Im September 2023 begann die Malware-Kampagne ClearFake, EtherHiding zu verwenden, um schädlichen Code aus BNB-Chain-Smart-Contracts abzurufen. Im April 2026 fanden Forscher Omnistealer, der TRON, Aptos und BNB Chain nutzte, um Zugangsdaten, Cloud-Kontoinformationen, Passwörter und Daten von Krypto-Wallets zu stehlen.
Mit anderen Worten: Das Problem ist nicht auf BNB Chain beschränkt. Bemerkenswert ist jedoch, dass das Threat-Team von Microsoft beschlossen hat, auf ein offenbar fortdauerndes Problem hinzuweisen.
Die Nachricht folgt auf die im Juli von BNB Chain vorgestellten Pläne für eine neue Layer-1-Blockchain für Hochfrequenzhandel, automatisierte Zahlungen und KI-gesteuerte Transaktionen. Ein Testnet wird bis Ende 2026 erwartet, gefolgt von einem Mainnet-Start Anfang 2027.
Microsoft riet Organisationen, unnötige Befehlszeilentools einzuschränken, das PowerShell-Logging zu aktivieren und Anwendungssteuerungen zu verwenden. Da die schädliche Nutzlast dynamisch aus der Blockchain-Infrastruktur abgerufen und nicht auf einem festen Server gehostet wird, bieten herkömmliche Webfilter und Domain-Blocklisten möglicherweise nur begrenzten Schutz gegen diese Zustellmethode.
„Nutzer sollten niemals Befehle aus CAPTCHAs, Browserfehlern, E-Mails, Anzeigen oder unaufgeforderten Support-Seiten in Ausführen, Terminal, PowerShell oder die Eingabeaufforderung einfügen“, sagte Microsoft.