Microsoft: BNB Smart Chain misbruikt om malware te verspreiden

Microsoft Threat Intelligence ontdekt dat aanvallers gecompromitteerde websites gebruiken om via slimme contracten op de BNB Smart Chain kwaadaardige opdrachten op te halen. De techniek staat bekend als EtherHiding en treft dagelijks duizenden apparaten wereldwijd.

In het kort:

• Aanvallers misbruiken BNB Smart Chain contracten om malware instructies te versturen via een RPC-gateway.
• Slachtoffers worden verleid via nep CAPTCHA popups die hen aansporen kwaadaardige commando’s zelf uit te voeren.
• De campagnes, ClickFix en TerminalFix genaamd, richten zich op zowel zakelijke als particuliere gebruikers wereldwijd.

Nep CAPTCHA als ingang

De aanval begint met een pop upvenster dat eruitziet als een standaard CAPTCHA verificatie. Gebruikers krijgen de instructie om een toetsencombinatie in te drukken, namelijk Windows-toets plus R, gevolgd door Ctrl+V en Enter. Wat ze niet weten, is dat hiermee een kwaadaardige opdracht wordt geplakt en direct uitgevoerd op hun systeem. De aanpak is bewust eenvoudig gehouden zodat ook minder technisch onderlegde mensen erin trappen.

De nep CAPTCHA methode is onderdeel van de zogenoemde ClickFix en TerminalFix campagnes. Volgens Microsoft worden via deze aanvalsroute dagelijks duizenden apparaten getroffen, zowel bij grote bedrijven als bij gewone consumenten thuis.

EtherHiding via de blockchain

Wat deze campagne technisch onderscheidt, is het gebruik van de EtherHiding techniek. Aanvallers slaan kwaadaardige instructies op in slimme contracten op de BNB Smart Chain. Gecompromitteerde websites halen deze instructies op via een BNB Smart Chain RPC gateway, waarna ze worden doorgegeven aan het apparaat van het slachtoffer. Doordat de instructies via de blockchain worden verspreid, zijn ze moeilijker te blokkeren of te verwijderen dan traditionele malware infrastructuur.

Het netwerk achter BNB wordt zo onbewust ingezet als tussenschakel in een aanvalsketen. Microsoft heeft de bevindingen gepubliceerd en waarschuwt gebruikers en organisaties om alert te zijn op verdachte verificatieschermen die vragen om toetsenbordacties uit te voeren.

Risico voor enterprise en consument

De schaal van de campagne is opvallend groot. Microsoft meldt dat de aanvallen zich niet beperken tot één sector of doelgroep. Zowel kantooromgevingen als thuisgebruikers zijn doelwit. Dat maakt de campagne gevaarlijker dan gerichte aanvallen, omdat de kans op een treffer bij brede verspreiding automatisch toeneemt.

Beveiligingsexperts raden aan om medewerkers actief te informeren over deze aanvalsmethode. Legitieme CAPTCHA diensten vragen nooit om handmatig commando’s uit te voeren via het toetsenbord. Wie een dergelijk scherm tegenkomt, doet er verstandig aan de pagina direct te sluiten.