ハッカーはBNB Smart Chainのコントラクトを使用してマルウェアの指示を保存しています。

偽のCAPTCHAプロンプトが被害者に対し、Windowsツールに悪意のあるコマンドを貼り付けるよう指示します。

攻撃が成功すると、認証情報が盗まれ、ハッカーに企業ネットワークへの持続的なアクセス権が与えられます。

Microsoft脅威インテリジェンスの報告によると、ハッカーはBNB Chainのコントラクトを使用し、侵害されたウェブサイトと偽のCAPTCHAプロンプトを通じてマルウェアを拡散しています。

木曜日のXへの投稿で、Microsoft脅威インテリジェンスは、このキャンペーンが「EtherHiding」という技術を使用していると述べました。これは、ブロックチェーンのスマートコントラクトに悪意のある指示を保存する手法です。侵害されたウェブサイトに注入されたJavaScriptがBNB Chainのゲートウェイに接続し、正当なウェブサイトに感染するマルウェアキャンペーンであるClearFakeに以前関連していたコントラクトからコマンドを取得します。

ブロックチェーンネットワーク上に指示を保存することで、削除がより困難になります。コントラクトを制御するウォレットのみがその内容を変更できるため、従来のテイクダウンの有効性が制限されます。パブリックブロックチェーンネットワークは、個別にブロックできない複数のアクセスポイントも提供します。誰もが異なるRPCプロバイダーを通じてコントラクトを照会したり、独自のノードを運用したりできるためです。

侵害されたウェブサイトの訪問者には、WindowsのRunダイアログを開き、クリップボードからテキストを貼り付け、Enterキーを押すよう指示する偽のCAPTCHAが表示されます。そうすることで、攻撃者が提供したコマンドが実行されます。

「ClickFix」として知られるこの手法は、被害者自身がマルウェアを実行することに依存しています。「TerminalFix」と呼ばれるバリエーションは、ユーザーをWindowsターミナルやPowerShellに誘導します。ClickFix方式のソーシャルエンジニアリングは、複数のサイバー犯罪作戦で記録されており、攻撃者は認証ページ、ソフトウェアのアップデート、エラーダイアログを装ってユーザーを騙し、コードを実行させています。

「このキャンペーンは、ClickFixとTerminalFixが大量の初期アクセス手法であることを示しています」とMicrosoftの研究者は記述しました。「Microsoftは毎日、世界中の数千の企業およびコンシューマーデバイスを標的とするキャンペーンを報告しており、一部の悪意のある広告チェーンは訪問者を詐欺ページに誘導する可能性があります」

Microsoftによると、ハッカーはコマンドを隠し、PowerShell、cmd、mshta、rundll32、msiexec、curl、Windows Management Instrumentation、スケジュールされたタスクなど、正当なWindowsツールを悪用します。感染が成功すると、パスワードが露見し、持続的なアクセスが確立され、ネットワーク内での移動を支援し、ランサムウェアやより広範なネットワーク侵害につながる可能性があります。

ブロックチェーンをマルウェア攻撃の支援に利用することは新しいことではありません。

2016年、CerberランサムウェアはBitcoinトランザクションを使用してコマンド＆コントロールサーバーを見つけ始めました。2019年から2021年にかけて、Gluptebaボットネットはメインサーバーがオフラインになった際、Bitcoinブロックチェーンを使用してバックアップサーバーを特定していました。

2023年9月、ClearFakeマルウェアキャンペーンはEtherHidingを使用してBNB Chainのスマートコントラクトから悪意のあるコードを取得し始めました。2026年4月、研究者はOmnistealerがTRON、Aptos、BNB Chainを使用して認証情報、クラウドアカウント情報、パスワード、暗号資産ウォレットデータの窃取を支援していることを発見しました。

言い換えれば、この問題はBNB Chainに特有のものではありません。しかし、Microsoftの脅威チームが継続的な問題と思われるものを強調するよう選択したことは注目に値します。

このニュースは、BNB Chainが7月に高頻度取引、自動化された支払い、AI駆動のトランザクション向けに構築された新しいlayer-1ブロックチェーンの計画を発表した後に発表されました。テストネットは2026年末までに予定されており、その後2027年前半にメインネットのローンチが予定されています。

Microsoftは組織に対し、不要なコマンドラインツールを制限し、PowerShellのロギングを有効にし、アプリケーションコントロールを使用することを推奨しました。悪意のあるペイロードは固定サーバーにホストされるのではなく、ブロックチェーンインフラから動的に取得されるため、従来のウェブフィルターやドメインブロックリストはこの配信方法に対して限られた保護しか提供しない可能性があります。

「ユーザーはCAPTCHA、ブラウザのエラー、メール、広告、または一方的なサポートページからのコマンドをRun、Terminal、PowerShell、またはコマンドプロンプトに貼り付けるべきではありません」とMicrosoftは述べました。