هکرها از زنجیره BNB برای انتشار بدافزار از طریق کپچا جعلی استفاده کردند

هکرها با سوءاستفاده از قراردادهای هوشمند BNB Chain، بدافزارها را از طریق وب‌سایت‌های آلوده و درخواست‌های جعلی CAPTCHA منتشر می‌کنند. این یافته بر اساس گزارشی از سوی مایکروسافت تِرِت اینتلیجنس (Microsoft Threat Intelligence) منتشر شده است.

روش‌های نوین انتشار بدافزار

بر اساس پستی که مایکروسافت تِرِت اینتلیجنس روز پنجشنبه در شبکه اجتماعی X منتشر کرد، این کمپین از تکنیک “EtherHiding” استفاده می‌کند. در این روش، دستورالعمل‌های مخرب در یک قرارداد هوشمند بلاک‌چین ذخیره می‌شوند. سپس جاوا اسکریپت تزریق شده به وب‌سایت‌های آلوده، با یک گیت‌وی BNB Chain ارتباط برقرار کرده و دستورات را از قراردادی که پیشتر با کمپین بدافزاری ClearFake مرتبط بوده، دریافت می‌کند.

ذخیره دستورالعمل‌ها در شبکه بلاک‌چین، حذف آن‌ها را دشوارتر می‌سازد. تنها کیف پولی که کنترل قرارداد را در اختیار دارد، قادر به تغییر محتوای آن است و این امر اثربخشی روش‌های معمول مقابله را محدود می‌کند.

فریب کاربران با CAPTCHA جعلی

بازدیدکنندگان وب‌سایت‌های آلوده با یک صفحه CAPTCHA جعلی مواجه می‌شوند که از آن‌ها می‌خواهد کادر محاوره‌ای Run ویندوز را باز کرده، متنی را از کلیپ‌بورد خود کپی و پیست کنند و سپس Enter را فشار دهند. انجام این کار باعث اجرای دستوری می‌شود که توسط مهاجم ارائه شده است.

این روش که با نام “ClickFix” شناخته می‌شود، به این بستگی دارد که قربانیان خودشان بدافزار را اجرا کنند. نوع دیگری از این حمله به نام “TerminalFix” کاربران را به سمت Windows Terminal یا PowerShell هدایت می‌کند.

محققان مایکروسافت در این باره نوشتند: «این کمپین نشان می‌دهد که ClickFix و TerminalFix به عنوان یک تکنیک دسترسی اولیه با حجم بالا عمل می‌کنند. مایکروسافت گزارش می‌دهد که این کمپین‌ها روزانه هزاران دستگاه سازمانی و مصرف‌کننده را در سراسر جهان هدف قرار می‌دهند، در حالی که برخی از زنجیره‌های تبلیغات مخرب می‌توانند بازدیدکنندگان را به سمت صفحات کلاهبرداری هدایت کنند.»

سوءاستفاده از ابزارهای قانونی ویندوز

طبق گزارش مایکروسافت، هکرها دستورات خود را پنهان کرده و از ابزارهای قانونی ویندوز از جمله PowerShell، cmd، mshta، rundll32، msiexec، curl، Windows Management Instrumentation و وظایف زمان‌بندی شده سوءاستفاده می‌کنند. یک آلودگی موفق می‌تواند منجر به افشای رمزهای عبور، ایجاد دسترسی پایدار، کمک به هکرها برای نفوذ در شبکه و در نهایت منجر به باج‌افزار یا نفوذ گسترده‌تر به شبکه شود.

استفاده از بلاک‌چین برای پشتیبانی از حملات بدافزاری پدیده جدیدی نیست. در سال ۲۰۱۶، باج‌افزار Cerber شروع به استفاده از تراکنش‌های بیت‌کوین برای یافتن سرورهای فرماندهی و کنترل خود کرد. از سال ۲۰۱۹ تا ۲۰۲۱، بات‌نت Glupteba از بلاک‌چین بیت‌کوین برای یافتن سرورهای پشتیبان در زمان آفلاین شدن سرورهای اصلی خود استفاده می‌کرد.

در سپتامبر ۲۰۲۳، کمپین بدافزاری ClearFake شروع به استفاده از EtherHiding برای بازیابی کد مخرب از قراردادهای هوشمند BNB Chain کرد. در آوریل ۲۰۲۶، محققان بدافزار Omnistealer را شناسایی کردند که از TRON، Aptos و BNB Chain برای سرقت اطلاعات احراز هویت، اطلاعات حساب ابری، رمزهای عبور و داده‌های کیف پول رمزارز استفاده می‌کرد.

به عبارت دیگر، این مشکل مختص BNB Chain نیست. اما قابل توجه است که تیم تهدیدات مایکروسافت تصمیم گرفته است بر این مسئله که به نظر می‌رسد یک مشکل ادامه‌دار است، تأکید کند.

این خبر در حالی منتشر می‌شود که BNB Chain در ماه جولای برنامه‌های خود را برای یک بلاک‌چین جدید لایه ۱ (Layer-1) که برای معاملات با فرکانس بالا، پرداخت‌های خودکار و تراکنش‌های مبتنی بر هوش مصنوعی طراحی شده است، رونمایی کرد. انتظار می‌رود یک تست‌نت تا پایان سال ۲۰۲۶ و سپس راه‌اندازی شبکه اصلی در اوایل سال ۲۰۲۷ صورت گیرد.

مایکروسافت به سازمان‌ها توصیه کرده است که ابزارهای خط فرمان غیرضروری را محدود کنند، ثبت وقایع PowerShell را فعال کنند و از کنترل‌های برنامه استفاده نمایند.

مایکروسافت همچنین هشدار داد: «کاربران هرگز نباید دستوراتی را که از CAPTCHAها، خطاهای مرورگر، ایمیل‌ها، تبلیغات یا صفحات پشتیبانی ناخواسته دریافت می‌کنند، در کادرهای Run، Terminal، PowerShell یا Command Prompt پیست کنند.»