Microsoft Threat Intelligence ha individuato un'operazione malware sofisticata che sfrutta l'infrastruttura di BNB Smart Chain per archiviare e distribuire codice dannoso. BNB Smart Chain, una delle reti blockchain più utilizzate per le applicazioni decentralizzate, opera come una chain pubblica in cui gli smart contract distribuiti persistono in modo immutabile. Gli attori delle minacce infiltrano siti web legittimi, incorporando JavaScript che stabilisce connessioni con smart contract ospitati su blockchain contenenti istruzioni di attacco.

Microsoft Threat Intelligence ha identificato siti web compromessi che utilizzano la tecnica EtherHiding per recuperare istruzioni dannose da uno smart contract tramite un gateway RPC di BNB Smart Chain.

La natura immutabile degli smart contract blockchain rappresenta una sfida significativa per i difensori. Solo il creatore del contract dispone dei privilegi di modifica o eliminazione, il che significa che i professionisti della cybersecurity non possono smantellare l'infrastruttura dannosa utilizzando i metodi di takedown convenzionali progettati per i server di hosting standard. A differenza dei tradizionali server di command-and-control ospitati su provider cloud o hardware dedicato che ISP e forze dell'ordine possono coordinarsi per spegnere, i contract distribuiti su blockchain rimangono accessibili finché la rete sottostante opera. Questa caratteristica aumenta sostanzialmente la difficoltà di neutralizzazione della minaccia.

La strategia di sfruttamento, identificata come EtherHiding, ha connessioni documentate con l'operazione malware ClearFake, che ha compromesso attivamente siti web dalla fine del 2023. ClearFake e le campagne correlate si sono evolute attraverso multiple iterazioni, adottando progressivamente meccanismi di distribuzione più resilienti per eludere il rilevamento e l'intercettazione.

I visitatori dei siti infetti si imbattono in false schermate di verifica CAPTCHA. Invece di presentare legittime attività di verifica, queste pagine deceptive invitano i bersagli ad avviare l'utilità Windows Run, eseguire un comando pre-caricato negli appunti e confermare l'azione. Questa tecnica di ingegneria sociale, designata ClickFix, manipola le vittime inducendole a eseguire autonomamente il payload dannoso. Un'implementazione alternativa nota come TerminalFix reindirizza i bersagli verso ambienti Windows Terminal o PowerShell.

Conseguenze della compromissione del sistema

Secondo Microsoft, gli attori delle minacce sfruttano le utilità native di Windows per eludere i meccanismi di rilevamento di sicurezza, tra cui PowerShell, Command Prompt, mshta, rundll32, curl e Windows Management Instrumentation. Questa tecnica, spesso definita living-off-the-land, consente agli aggressori di mimetizzare l'attività dannosa con operazioni amministrative legittime che gli strumenti di sicurezza comunemente consentono.

In seguito a un'infezione riuscita, gli aggressori distribuiscono molteplici programmi dannosi: Lumma Stealer, XWorm, AsyncRAT e MintsLoader. Lumma Stealer e AsyncRAT sono tra le offerte malware-as-a-service più ampiamente distribuite osservate nel panorama delle minacce, frequentemente diffuse attraverso forum sotterranei. Queste applicazioni estraggono credenziali di autenticazione, informazioni memorizzate nei browser e dettagli dei wallet di criptovalute. Stabiliscono inoltre un accesso backdoor persistente per una continua infiltrazione nel sistema o nella rete.

Il team di sicurezza di Microsoft avverte che i sistemi compromessi possono successivamente diventare bersagli di ransomware. Tali attacchi escalation coinvolgono intrusioni gestite da operatori umani in cui gli avversari assumono il controllo diretto della rete prima di avviare la crittografia dei file.

Modello più ampio di sfruttamento della blockchain

Lo sfruttamento della tecnologia blockchain per scopi dannosi rappresenta un modello consolidato. Nel 2016, il ransomware Cerber utilizzava le transazioni Bitcoin per l'individuazione dei server di command-and-control. Tra il 2019 e il 2021, il botnet Glupteba impiegava l'infrastruttura Bitcoin. Una ricerca pubblicata nell'aprile 2026 ha documentato Omnistealer che sfruttava le reti TRON, Aptos e BNB Chain per l'harvesting di credenziali e l'estrazione di dati dai wallet di criptovalute.

Questa segnalazione rappresenta un'altra scoperta di sicurezza correlata alle criptovalute da parte di Microsoft nel 2026. A giugno, l'azienda ha identificato una campagna di manipolazione degli appunti che sostituiva gli indirizzi wallet copiati con alternative controllate dagli aggressori. A maggio, Microsoft ha riferito di un'operazione cryptojacking che utilizzava tecniche di manipolazione SEO.

È importante notare che l'infrastruttura di base di BNB Chain stessa rimane sicura. Gli avversari stanno sfruttando l'architettura decentralizzata della rete per ospitare direttive dannose che resistono alle procedure di rimozione convenzionali.

Misure di protezione consigliate

Le linee guida di Microsoft enfatizzano il rifiuto di eseguire qualsiasi comando richiesto da schermate CAPTCHA, notifiche del browser, email o fonti web sconosciute. I sistemi legittimi di verifica CAPTCHA non richiedono mai agli utenti di eseguire comandi di sistema.

Per gli ambienti organizzativi, Microsoft raccomanda di implementare il monitoraggio dell'attività di PowerShell, distribuire policy di restrizione delle applicazioni e limitare l'accesso alle utilità di riga di comando non essenziali.