Des pirates utilisent la BNB Chain pour propager des malwares via de faux CAPTCHA

Les pirates utilisent les contrats de la BNB Chain pour propager des logiciels malveillants via des sites Web compromis et de fausses invites CAPTCHA, selon un rapport de Microsoft Threat Intelligence.

Dans un post sur X jeudi, Microsoft Threat Intelligence a déclaré que la campagne utilise EtherHiding, une technique qui stocke des instructions malveillantes dans un contrat intelligent de blockchain. Le JavaScript injecté dans les sites Web compromis contacte une passerelle BNB Chain et récupère des commandes à partir d'un contrat précédemment lié à ClearFake, une campagne de logiciels malveillants qui infecte des sites Web légitimes.

Stocker les instructions sur un réseau blockchain les rend plus difficiles à supprimer. Seul le portefeuille contrôlant le contrat peut modifier son contenu, limitant ainsi l'efficacité des démantèlements conventionnels.

Les visiteurs de sites Web compromis voient un faux CAPTCHA leur demandant d'ouvrir la boîte de dialogue Exécuter de Windows, de coller le texte de leur presse-papiers et d'appuyer sur Entrée. Cela exécute une commande fournie par l'attaquant.

La méthode, connue sous le nom de ClickFix, repose sur le fait que les victimes exécutent elles-mêmes le logiciel malveillant. Une variante appelée TerminalFix dirige les utilisateurs vers Windows Terminal ou PowerShell.

« Cette campagne démontre que ClickFix et TerminalFix sont une technique d'accès initial à haut volume », ont écrit les chercheurs de Microsoft. « Microsoft signale des campagnes ciblant des milliers d'appareils d'entreprise et grand public dans le monde chaque jour, tandis que certaines chaînes de malvertising peuvent diriger les visiteurs vers des pages d'arnaque. »

Selon Microsoft, les pirates dissimulent leurs commandes et abusent des outils Windows légitimes, notamment PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation et les tâches planifiées. Une infection réussie peut exposer des mots de passe, établir un accès durable, aider les pirates à se déplacer dans un réseau et conduire à un ransomware ou à un compromis plus large du réseau.

L'utilisation de blockchains pour soutenir des attaques de logiciels malveillants n'est pas nouvelle.

En 2016, le ransomware Cerber a commencé à utiliser les transactions Bitcoin pour trouver ses serveurs de commande et de contrôle. De 2019 à 2021, le botnet Glupteba a utilisé la blockchain Bitcoin pour localiser des serveurs de secours lorsque ses serveurs principaux étaient hors ligne.

En septembre 2023, la campagne de malware ClearFake a commencé à utiliser EtherHiding pour récupérer du code malveillant à partir de contrats intelligents de la chaîne BNB. En avril 2026, des chercheurs ont découvert qu'Omnistealer utilisait TRON, Aptos et la chaîne BNB pour aider à voler des identifiants, des informations de compte cloud, des mots de passe et des données de portefeuille crypto.

En d'autres termes, le problème n'est pas unique à la chaîne BNB. Mais il est notable que l'équipe de menace de Microsoft ait choisi de mettre en évidence ce qui semble être un problème persistant.

Cette nouvelle intervient après que la chaîne BNB a dévoilé en juillet des plans pour une nouvelle blockchain de couche 1 conçue pour le trading à haute fréquence, les paiements automatisés et les transactions pilotées par l'IA. Un testnet est attendu d'ici la fin 2026, suivi d'un lancement du mainnet début 2027.

Microsoft a conseillé aux organisations de restreindre les outils de ligne de commande inutiles, d'activer la journalisation PowerShell et d'utiliser des contrôles d'applications.

« Les utilisateurs ne devraient jamais coller de commandes provenant de CAPTCHA, d'erreurs de navigateur, d'e-mails, de publicités ou de pages d'assistance non sollicitées dans Exécuter, Terminal, PowerShell ou Invite de commandes », a déclaré Microsoft.