Des hackers utilisent les contrats BNB Smart Chain pour stocker des instructions de malware.

De fausses invites CAPTCHA demandent aux victimes de coller des commandes malveillantes dans des outils Windows.

Les attaques réussies peuvent voler des identifiants et donner aux hackers un accès durable aux réseaux d'entreprise.

Des hackers utilisent les contrats BNB Chain pour diffuser des malwares via des sites compromis et de fausses invites CAPTCHA, selon un rapport de Microsoft Threat Intelligence.

Dans une publication sur X jeudi, Microsoft Threat Intelligence a indiqué que la campagne utilise EtherHiding, une technique qui stocke des instructions malveillantes dans un contrat intelligent blockchain. Le code JavaScript injecté dans les sites compromis contacte une passerelle BNB Chain et récupère des commandes depuis un contrat précédemment lié à ClearFake, une campagne de malware qui infecte des sites web légitimes.

Le stockage des instructions sur un réseau blockchain les rend plus difficiles à supprimer. Seul le portefeuille contrôlant le contrat peut modifier son contenu, ce qui limite l'efficacité des démantèlements classiques. Les réseaux blockchain publics offrent également de multiples points d'accès qui ne peuvent pas être bloqués individuellement, puisque n'importe qui peut interroger un contrat via différents fournisseurs RPC ou exécuter son propre nœud.

Les visiteurs des sites compromis voient un faux CAPTCHA leur demandant d'ouvrir la boîte de dialogue Exécuter de Windows, de coller le texte de leur presse-papiers et d'appuyer sur Entrée. Cette action exécute une commande fournie par l'attaquant.

La méthode, connue sous le nom de ClickFix, dépend des victimes qui exécutent elles-mêmes le malware. Une variante appelée TerminalFix dirige les utilisateurs vers Windows Terminal ou PowerShell. L'ingénierie sociale de type ClickFix a été documentée dans le cadre de multiples opérations de cybercriminalité, les attaquants usurpant l'identité de pages de vérification, de mises à jour logicielles et de boîtes de dialogue d'erreur pour inciter les utilisateurs à exécuter du code.

« Cette campagne démontre que ClickFix et TerminalFix sont une technique d'accès initial à grand volume », ont écrit les chercheurs de Microsoft. « Microsoft signale des campagnes ciblant des milliers d'appareils d'entreprise et grand public dans le monde entier chaque jour, tandis que certaines chaînes de publicité malveillante peuvent diriger les visiteurs vers des pages d'arnaque. »

Selon Microsoft, les hackers dissimulent leurs commandes et détournent des outils Windows légitimes, notamment PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation et les tâches planifiées. Une infection réussie peut exposer des mots de passe, établir un accès durable, aider les hackers à se déplacer dans un réseau et conduire à un ransomware ou à une compromission plus large du réseau.

L'utilisation de blockchains pour faciliter des attaques de malware n'est pas nouvelle.

En 2016, le ransomware Cerber a commencé à utiliser les transactions Bitcoin pour trouver ses serveurs de commande et de contrôle. De 2019 à 2021, le botnet Glupteba a utilisé la blockchain Bitcoin pour localiser des serveurs de secours lorsque ses serveurs principaux tombaient en panne.

En septembre 2023, la campagne de malware ClearFake a commencé à utiliser EtherHiding pour récupérer du code malveillant depuis des contrats intelligents BNB Chain. En avril 2026, des chercheurs ont découvert qu'Omnistealer utilisait TRON, Aptos et BNB Chain pour voler des identifiants, des informations de comptes cloud, des mots de passe et des données de portefeuilles crypto.

En d'autres termes, le problème n'est pas propre à BNB Chain. Mais il est notable que l'équipe de menace de Microsoft ait choisi de souligner ce qui semble être un problème persistant.

Cette actualité intervient après que BNB Chain a dévoilé en juillet des plans pour une nouvelle blockchain de couche 1 conçue pour le trading à haute fréquence, les paiements automatisés et les transactions pilotées par l'IA. Un testnet est attendu d'ici la fin de 2026, suivi d'un lancement mainnet début 2027.

Microsoft a conseillé aux organisations de restreindre les outils en ligne de commande inutiles, d'activer la journalisation PowerShell et d'utiliser des contrôles d'application. Étant donné que la charge utile malveillante est récupérée dynamiquement depuis une infrastructure blockchain plutôt qu'hébergée sur un serveur fixe, les filtres web conventionnels et les listes de blocage de domaines peuvent offrir une protection limitée contre cette méthode de diffusion.

« Les utilisateurs ne devraient jamais coller de commandes provenant de CAPTCHAs, d'erreurs de navigateur, d'e-mails, de publicités ou de pages d'assistance non sollicitées dans Exécuter, Terminal, PowerShell ou l'invite de commandes », a déclaré Microsoft.