微软威胁情报团队近日披露了一波新型攻击浪潮，涉及被入侵的网站滥用ClickFix和TerminalFix技术，并结合一种名为EtherHiding的高级混淆方法。攻击者利用BNB智能链RPC网关获取下一阶段的恶意指令，使得该攻击活动对标准阻断措施具有极强的抵抗力。
据BlockBeats链上监测，恶意载荷直接存储在区块链上的智能合约中。由于只有部署合约的钱包所有者才能修改或删除数据，传统的下架或封堵措施基本无效。这标志着攻击者隐藏其命令与控制基础设施的方式发生了重大演变。
微软解释称，攻击始于伪造的CAPTCHA验证页面。用户被诱导打开Windows运行对话框、终端或PowerShell，然后粘贴并执行恶意命令。该攻击链严重依赖合法的系统工具，如conhost、PowerShell、mshta、rundll32、curl、WMI和WebDAV，以执行混淆和离地生存（Living-off-the-Land）活动。
ClickFix和TerminalFix已成为常见的初始入侵载体，每天影响全球数千台企业及个人设备。微软将这些方法归因于多个威胁组织，他们分发包括Lumma Stealer、Xworm、AsyncRAT和MintsLoader在内的恶意软件。此类感染可能导致凭据窃取、横向移动，甚至勒索软件部署。
微软强烈建议用户不要根据CAPTCHA页面、网站错误、电子邮件或广告的提示，在Windows运行、终端、PowerShell或命令提示符中粘贴或运行任何命令。用户应保持警惕，并在采取任何操作前验证任何意外的系统提示。