Microsoft Threat Intelligence hat eine ausgefeilte Malware-Operation aufgedeckt, die BNB Smart Chain-Infrastruktur nutzt, um schädlichen Code zu speichern und zu verteilen. BNB Smart Chain, eines der am weitesten verbreiteten Blockchain-Netzwerke für dezentrale Anwendungen, arbeitet als öffentliche Chain, auf der bereitgestellte Smart Contracts unveränderlich bestehen bleiben. Bedrohungsakteure dringen in legitime Websites ein und betten JavaScript ein, das Verbindungen zu auf der Blockchain gehosteten Smart Contracts mit Angriffsanweisungen herstellt.

Microsoft Threat Intelligence identifizierte kompromittierte Websites, die die EtherHiding-Technik verwenden, um schädliche Anweisungen aus einem Smart Contract über ein BNB Smart Chain RPC-Gateway abzurufen.

Die unveränderliche Natur von Blockchain-Smart-Contracts stellt Verteidiger vor eine erhebliche Herausforderung. Da nur der Ersteller des Vertrags über Änderungs- oder Löschrechte verfügt, können Cybersicherheitsfachleute diese schädliche Infrastruktur nicht mit herkömmlichen Abschaltmethoden beseitigen, wie sie für Standard-Hosting-Server üblich sind. Anders als bei traditionellen Command-and-Control-Servern, die auf Cloud-Anbietern oder spezieller Hardware betrieben werden und deren Abschaltung von ISPs und Strafverfolgungsbehörden koordiniert werden kann, bleiben auf der Blockchain bereitgestellte Verträge so lange erreichbar, wie das zugrunde liegende Netzwerk läuft. Diese Eigenschaft erhöht die Schwierigkeit, die Bedrohung zu neutralisieren, erheblich.

Die als EtherHiding bezeichnete Ausnutzungsstrategie ist mit der ClearFake-Malware-Operation dokumentiert verbunden, die seit Ende 2023 aktiv Websites kompromittiert. ClearFake und verwandte Kampagnen haben sich in mehreren Iterationen weiterentwickelt und zunehmend widerstandsfähigere Verbreitungsmechanismen eingesetzt, um Erkennung und Unterbindung zu umgehen.

Besucher infizierter Websites stoßen auf gefälschte CAPTCHA-Verifizierungsseiten. Anstatt legitime Verifizierungsaufgaben anzuzeigen, weisen diese täuschenden Seiten die Zielpersonen an, das Windows-Run-Dienstprogramm zu öffnen, einen vorab geladenen Clipboard-Befehl auszuführen und die Aktion zu bestätigen. Dieser Social-Engineering-Ansatz, der als ClickFix bezeichnet wird, verleitet Opfer dazu, die schädliche Nutzlast selbst auszuführen. Eine alternative Umsetzung namens TerminalFix lenkt Zielpersonen auf Windows Terminal- oder PowerShell-Umgebungen um.

Folgen einer Systemkompromittierung

Nach Angaben von Microsoft nutzen die Angreifer native Windows-Dienstprogramme, um Sicherheitsmechanismen zu umgehen, darunter PowerShell, Command Prompt, mshta, rundll32, curl und Windows Management Instrumentation. Diese Technik, oft als Living-off-the-land bezeichnet, ermöglicht es Angreifern, schädliche Aktivitäten mit legitimen administrativen Vorgängen zu vermischen, die Sicherheitstools häufig zulassen.

Nach erfolgreicher Infektion setzen die Angreifer mehrere schädliche Programme ein: Lumma Stealer, XWorm, AsyncRAT und MintsLoader. Lumma Stealer und AsyncRAT gehören zu den am weitesten verbreiteten Malware-as-a-Service-Angeboten, die in der Bedrohungslandschaft beobachtet werden und häufig über Untergrundforen verbreitet werden. Diese Anwendungen extrahieren Authentifizierungsdaten, im Browser gespeicherte Informationen und Details zu Kryptowährungs-Wallets. Außerdem richten sie dauerhaften Backdoor-Zugriff ein, um eine fortgesetzte Kompromittierung von Systemen oder Netzwerken zu ermöglichen.

Das Sicherheitsteam von Microsoft warnt, dass kompromittierte Systeme anschließend zu Ransomware-Zielen werden können. Solche eskalierten Angriffe umfassen von Menschen gesteuerte Einbrüche, bei denen Angreifer vor der Verschlüsselung von Dateien die direkte Kontrolle über das Netzwerk übernehmen.

Breiteres Muster der Ausnutzung von Blockchain-Technologie

Die Ausnutzung von Blockchain-Technologie zu böswilligen Zwecken ist ein etabliertes Muster. 2016 nutzte die Ransomware Cerber Bitcoin-Transaktionen zur Erkennung von Command-and-Control-Servern. Zwischen 2019 und 2021 setzte das Botnetz Glupteba Bitcoin-Infrastruktur ein. Im April 2026 veröffentlichte Forschung dokumentierte, dass Omnistealer TRON-, Aptos- und BNB-Chain-Netzwerke für das Abgreifen von Zugangsdaten und das Auslesen von Kryptowährungs-Wallet-Daten nutzte.

Diese Offenlegung ist eine weitere sicherheitsrelevante Meldung von Microsoft mit Bezug zu Kryptowährungen im Jahr 2026. Im Juni identifizierte das Unternehmen eine Clipboard-Manipulationskampagne, die kopierte Wallet-Adressen durch vom Angreifer kontrollierte Alternativen ersetzte. Im Mai berichtete Microsoft über eine Cryptojacking-Operation, die SEO-Manipulationstechniken einsetzte.

Es ist wichtig zu beachten, dass die Kerninfrastruktur von BNB Chain selbst sicher bleibt. Angreifer nutzen die dezentrale Architektur des Netzwerks aus, um schädliche Anweisungen zu hosten, die sich herkömmlichen Entfernungsverfahren entziehen.

Empfohlene Schutzmaßnahmen

Die Empfehlungen von Microsoft betonen, keine Befehle auszuführen, die durch CAPTCHA-Seiten, Browser-Benachrichtigungen, E-Mail oder unbekannte Webquellen ausgelöst werden. Legitime CAPTCHA-Verifizierungssysteme verlangen von Nutzern niemals die Ausführung von Systembefehlen.

Für Unternehmensumgebungen empfiehlt Microsoft, PowerShell-Aktivitäten zu überwachen, Anwendungsbeschränkungsrichtlinien einzuführen und den Zugriff auf nicht erforderliche Befehlszeilen-Dienstprogramme zu begrenzen.

Der Beitrag Cyberkriminelle missbrauchen BNB-Chain-Smart-Contracts in neuer ClickFix-Malwarekampagne erschien zuerst auf Blockonomi .