Theo tin của BlockBeats, vào ngày 7 tháng 8, nhóm Đe dọa của Microsoft trong mảng tình báo mạng cho biết đã phát hiện một loạt trang web bị xâm nhập lợi dụng ClickFix và TerminalFix để lừa người dùng tấn công, đồng thời kết hợp kỹ thuật EtherHiding để truy cập các hợp đồng thông minh thông qua cổng RPC của BNB Smart Chain và nhận các chỉ dẫn độc hại ở giai đoạn tiếp theo. Do nội dung độc hại được lưu trữ trong các hợp đồng thông minh trên chuỗi, chỉ chủ sở hữu ví triển khai hợp đồng đó mới có thể sửa đổi, vì vậy việc loại bỏ bằng các biện pháp gỡ xuống hoặc cấm truyền thống sẽ khó khăn hơn.

Microsoft cho biết kẻ tấn công sẽ giả mạo các trang xác minh CAPTCHA, dụ người dùng mở cửa sổ Windows “Run” hoặc Terminal, PowerShell, sau đó dán và thực thi các lệnh độc hại. Trong quá trình tấn công, kẻ xấu sử dụng rộng rãi các công cụ hệ thống như conhost, PowerShell, mshta, rundll32, curl, WMI, WebDAV để ngụy trang và thực hiện các cuộc tấn công “lấy ngay từ hệ thống” (Living-off-the-Land).

Microsoft cho biết, ClickFix và TerminalFix đã trở thành các phương thức xâm nhập ban đầu được sử dụng với tần suất cao, mỗi ngày ảnh hưởng đến hàng nghìn thiết bị doanh nghiệp và cá nhân trên toàn cầu. Chúng được nhiều nhóm tấn công sử dụng để phát tán các phần mềm độc hại như Lumma Stealer, Xworm, AsyncRAT, MintsLoader, và có thể tiếp tục dẫn đến rò rỉ thông tin xác thực, di chuyển ngang và các cuộc tấn công bằng ransomware. Microsoft khuyến cáo người dùng không nên dán và thực thi bất kỳ lệnh nào trong Windows “Chạy”, Terminal, PowerShell hoặc Dấu nhắc lệnh, theo hướng dẫn CAPTCHA, lỗi trang web, email hoặc các thông báo quảng cáo.