微软警告：攻击者借BNB Chain智能合约藏恶意代码，全球数千设备受影响

BlockBeats 消息，8 月 7 日，微软威胁情报团队发文称，已发现一批遭入侵网站利用 ClickFix 和 TerminalFix 诱导攻击，并结合 EtherHiding 技术，通过 BNB Smart Chain RPC 网关访问智能合约，获取下一阶段恶意指令。

这类攻击的核心特点，是把恶意内容直接存储在链上智能合约中。由于只有部署该合约的钱包所有者才能修改合约内容，安全团队很难通过传统下架或封禁方式将其清除。

伪造 CAPTCHA 页面，诱导用户执行命令

微软指出，攻击者会伪造 CAPTCHA 验证页面，诱导用户打开 Windows「运行」窗口，或打开 Terminal、PowerShell，将恶意命令粘贴进去并执行。用户一旦照做，命令便会在本机运行。

攻击过程中，攻击者广泛使用 conhost、PowerShell、mshta、rundll32、curl、WMI、WebDAV 等系统工具进行混淆，并实施“就地取材”（Living-off-the-Land）攻击。

每天影响全球数千台设备

微软表示，ClickFix 和 TerminalFix 已成为高频初始入侵手段，每天影响全球数千台企业和个人设备。多个攻击组织都在使用这类手法传播 Lumma Stealer、Xworm、AsyncRAT、MintsLoader 等恶意软件，并可能进一步导致凭证泄露、横向移动以及勒索软件攻击。

微软的防御建议

微软建议用户，切勿按照 CAPTCHA、网页报错、邮件或广告提示，在 Windows「运行」、Terminal、PowerShell 或命令提示符中粘贴并执行任何命令。