Microsoft: ataki ClickFix używają BNB Smart Chain

Microsoft Threat Intelligence wykrył na początku sierpnia 2026 roku klaster zainfekowanych stron wyświetlających fałszywe CAPTCHA i stosujących techniki nazwane ClickFix i TerminalFix. Badacze powiązali aktywność z techniką EtherHiding, używaną wcześniej w kampanii ClearFake.

Na zainfekowanych witrynach wstrzyknięto JavaScript zakodowany w formacie Base64, który łączy się z bramą RPC BNB Smart Chain i odpytuje określony smartkontrakt o instrukcje. Treść poleceń przechowywana jest w kontrakcie i może ją zmienić tylko właściciel portfela, z którego kontrakt został wdrożony, co utrudnia usunięcie instrukcji tradycyjnymi metodami.

Po wejściu na stronę użytkownik widzi rzekomą weryfikację CAPTCHA, która żąda wykonania działań prowadzących do uruchomienia polecenia systemowego. W jednym wariancie internauta jest proszony o otwarcie okna Windows Run, wklejenie zawartości ze schowka i naciśnięcie Enter. W wariancie TerminalFix ofiara ma otworzyć Windows Terminal lub PowerShell i tam wkleić polecenie. Microsoft zaleca, by nie wklejać do Run, Terminala, PowerShella ani Wiersza polecenia treści pochodzących z podejrzanych komunikatów, stron lub e‑maili.

Atak wykorzystuje natywne narzędzia systemu Windows, co utrudnia ich wykrycie. W toku operacji pojawiają się procesy i narzędzia takie jak conhost, cmd, PowerShell, pcalua, mshta, rundll32, msiexec, curl, WMI, WebDAV oraz zadania zaplanowane przez system. Po uzyskaniu dostępu napastnicy mogą instalować różne typy złośliwego oprogramowania, w tym infostealery Lumma Stealer, zdalne trojany Xworm i AsyncRAT oraz loadery typu MintsLoader.

Microsoft ocenia, że kampanie wykorzystujące te techniki codziennie celują w tysiące urządzeń firmowych i domowych na całym świecie. Skuteczne wykonanie polecenia może doprowadzić do kradzieży danych uwierzytelniających, utrwalenia obecności złośliwego oprogramowania w systemie i rozprzestrzeniania się po sieci, co stwarza ryzyko ataku ransomware lub kompromitacji domeny.

W rekomendacjach Microsoft wskazuje na włączenie ochrony sieciowej, internetowej i chmurowej Microsoft Defender, ograniczenie dostępu do Run i wiersza polecenia tam, gdzie nie są potrzebne, włączenie rejestrowania bloków skryptów w PowerShell oraz wdrożenie kontroli aplikacji. Firma podkreśla też potrzebę edukacji użytkowników i ostrożności wobec poleceń otrzymywanych ze stron i wiadomości.

Raport o nowej fali ataków opublikowano na początku sierpnia 2026 roku. Microsoft przypomniał także o wcześniejszym incydencie, gdy błąd w Microsoft 365 spowodował, że asystent Copilot przez kilka tygodni mógł przetwarzać poufne e‑maile bez wyraźnej zgody użytkowników.