Des pirates exploitent des smart contracts sur BNB Chain pour diffuser des malwares via de faux CAPTCHA

Une campagne malveillante repérée par Microsoft Threat Intelligence détourne l'un des atouts majeurs de la blockchain, l'immutabilité, pour contourner les mesures de démantèlement. Les attaquants s'appuient sur des smart contracts déployés sur la BNB Smart Chain afin de stocker et de distribuer du code nuisible, transformant la résistance à la censure du réseau en vecteur d'infection touchant des milliers d'utilisateurs chaque jour. Baptisée ClickFix (également appelée TerminalFix), l'opération mise sur des invites de CAPTCHA factices affichées sur des sites compromis. Le but est de pousser les visiteurs à exécuter des commandes qui installent sur Windows un malware voleur d'informations. Une mécanique "EtherHiding" pour héberger les instructions on-chain Le cœur technique repose sur une méthode connue sous le nom d'EtherHiding. Plutôt que d'héberger des charges utiles sur des serveurs classiques, identifiables et neutralisables par les équipes de sécurité, les cybercriminels intègrent directement leurs commandes et données de configuration dans des smart contracts sur la BNB Smart Chain. Lorsqu'un internaute arrive sur un site compromis, souvent un site WordPress discrètement détourné, du JavaScript injecté interroge la blockchain. Le smart contract renvoie des instructions encodées en Base64, que le navigateur décode puis exécute. Cette approche limite aussi les modifications côté site. Une fois le JavaScript en place, les opérateurs peuvent faire évoluer la charge en déployant de nouveaux smart contracts ou en mettant à jour ceux qu'ils contrôlent on-chain. À chaque visite, le site infecté récupère la version la plus récente des instructions depuis la blockchain. Charge observée : Lumma Stealer et vol d'identifiants L'objectif final de ces faux CAPTCHA est l'installation d'un malware de vol d'identifiants, Lumma Stealer étant la charge principale observée dans cette campagne. Présenté comme un "information stealer", Lumma Stealer est capable d'extraire des mots de passe enregistrés dans les navigateurs, des identifiants de portefeuilles de cryptomonnaies, des cookies de session et d'autres données sensibles sur les machines compromises. La campagne vise aussi bien des appareils d'entreprises que des terminaux grand public, ce qui accroît sensiblement l'ampleur des risques. Liens avec ClearFake et évolution des tactiques ClickFix a été rattachée à l'initiative plus large ClearFake, une opération au long cours qui recourt, depuis au moins fin 2025, à des leurres tels que de fausses invites de mise à jour de navigateur et d'autres techniques d'ingénierie sociale. Signalée début août 2026, l'orientation vers de faux CAPTCHA illustre une évolution des modes opératoires. La blockchain comme infrastructure, pas seulement comme monnaie La BNB Smart Chain n'a pas été conçue pour héberger des malwares. Son caractère "permissionless" permet néanmoins à quiconque de déployer un smart contract contenant des données arbitraires, sans possibilité d'en imposer la suppression. Les mêmes propriétés qui rendent les systèmes décentralisés résistants à la censure étatique compliquent aussi l'intervention des acteurs de la cybersécurité. Pour les utilisateurs, les recommandations restent simples. Ne lancez jamais de commandes à la demande d'un CAPTCHA : un CAPTCHA légitime ne demande pas d'exécuter quoi que ce soit sur votre machine. Maintenez extensions de navigateur et systèmes d'exploitation à jour. Si un site WordPress se met soudainement à se comporter de façon inhabituelle, fermez l'onglet et n'insistez pas.