Microsoft: BNB Chain akıllı sözleşmelerini kullanarak kötü amaçlı kod gizleyen yeni bir saldırı kampanyası tespit edildi; dünya genelinde binlerce cihazı etkiliyor.

BlockBeats haberine göre, 7 Ağustos'ta Microsoft Tehdit İstihbaratı ekibi, ele geçirilmiş web sitelerinin ClickFix ve TerminalFix kullanarak saldırıları teşvik ettiğini ve EtherHiding teknolojisiyle birleştirerek BNB Smart Chain RPC ağ geçidi üzerinden akıllı sözleşmelere erişip bir sonraki aşama kötü amaçlı komutları aldığını tespit ettiğini açıkladı. Kötü amaçlı içerik zincir üzerindeki akıllı sözleşmelerde saklandığından, yalnızca sözleşmeyi dağıtan cüzdan sahibi değiştirebildiği için geleneksel kaldırma veya yasaklama yöntemleriyle temizlenmesi oldukça zordur.

Microsoft, saldırganların sahte CAPTCHA doğrulama sayfaları oluşturarak kullanıcıları Windows "Çalıştır" penceresini veya Terminal, PowerShell'i açmaya ve kötü amaçlı komutları yapıştırıp çalıştırmaya yönlendirdiğini belirtti. Saldırı sürecinde conhost, PowerShell, mshta, rundll32, curl, WMI, WebDAV gibi sistem araçları yaygın olarak kullanılarak karıştırma ve "yerinde kullanım (Living-off-the-Land)" saldırıları gerçekleştiriliyor.

Microsoft, ClickFix ve TerminalFix'in yüksek frekanslı ilk erişim yöntemleri haline geldiğini ve her gün dünya genelinde binlerce kurumsal ve kişisel cihazı etkilediğini, birçok saldırı grubunun Lumma Stealer, Xworm, AsyncRAT, MintsLoader gibi kötü amaçlı yazılımları yaymak için kullandığını ve bunun kimlik bilgisi sızıntısına, yanal hareketlere ve fidye yazılımı saldırılarına yol açabileceğini ifade etti. Microsoft, kullanıcıların CAPTCHA, web sayfası hata mesajları, e-posta veya reklam yönlendirmelerine göre Windows "Çalıştır", Terminal, PowerShell veya komut istemcisine herhangi bir komut yapıştırıp çalıştırmamasını öneriyor.