Hackers usan BNB Chain para esconder malware en blockchain con CAPTCHAs falsos, alerta Microsoft

Un grupo de atacantes está utilizando la BNB Chain para ocultar y distribuir malware en blockchain mediante sitios web comprometidos y falsos CAPTCHAs, según advirtió Microsoft. La compañía detectó que páginas legítimas hackeadas descargan instrucciones maliciosas alojadas directamente en la cadena de bloques y luego engañan a los visitantes para que ejecuten esos comandos en sus dispositivos Windows.

La técnica combina dos ingredientes conocidos por separado: el uso de la blockchain como servidor de comando y control, y el engaño social de las verificaciones falsas de «no soy un robot». El resultado es una campaña difícil de desmantelar, porque el código dañino no vive en un servidor que las autoridades puedan cerrar, sino en un contrato inteligente que resulta prácticamente imposible de borrar.

Cómo funciona el malware en blockchain

El esquema empieza con sitios web comprometidos. Cuando un usuario los visita, el navegador consulta de forma silenciosa un contrato en la BNB Chain que devuelve una carga de instrucciones. A partir de ahí, la víctima se topa con un CAPTCHA fraudulento que, en lugar de comprobar que es humano, le pide copiar y pegar un comando o pulsar una combinación de teclas.

Publicidad

Ese paso final es la clave del ataque. Al seguir las instrucciones, el propio usuario ejecuta el código malicioso en su equipo Windows, saltándose buena parte de las defensas automáticas. Microsoft ya había documentado este tipo de engaño bajo el nombre de ClickFix, una modalidad de ingeniería social que aprovecha la costumbre de la gente de completar verificaciones sin pensarlo.

La empresa detalló los indicadores de la campaña en una publicación de su equipo de inteligencia de amenazas, en la que apunta a que la infraestructura reposa sobre la lectura de datos en la cadena antes de la infección.

EtherHiding: la blockchain como escondite imborrable

Alojar instrucciones dañinas en una red pública tiene un nombre propio en el sector: EtherHiding. La idea es sencilla y perversa a la vez. Un contrato inteligente puede almacenar cualquier dato, incluidas rutas o fragmentos de código, y esos datos quedan replicados en miles de nodos. No hay un botón de «eliminar» ni un proveedor de hosting al que reclamar.

Para los atacantes eso significa resiliencia: si un dominio cae, basta con levantar otro sitio comprometido que apunte al mismo contrato. Cambiar la carga maliciosa es tan fácil como enviar una nueva transacción que actualice el valor almacenado, lo que les permite rotar objetivos y variantes sin reconstruir la infraestructura.

La elección de la BNB Chain no es casual. Sus comisiones bajas hacen que escribir y actualizar datos en la cadena resulte barato, un detalle que reduce el costo operativo de mantener una campaña activa durante semanas o meses.

Un patrón que se repite

El abuso de redes públicas para fines delictivos no es nuevo. Familias de ransomware como Cerber ya exploraban técnicas de evasión hace años, y más recientemente el infostealer Omnistealer demostró que la blockchain también sirve para robar credenciales y vaciar wallets.

La tendencia preocupa porque erosiona una de las líneas de defensa más eficaces contra el cibercrimen: cortar la cabeza de la red que da órdenes al malware. Cuando esa cabeza es un contrato inmutable, los equipos de seguridad deben apostar por bloquear la ejecución en el dispositivo final y educar al usuario.

Este episodio se suma a una lista creciente de fraudes que se apoyan en el prestigio del sector cripto para operar. En Europa, por ejemplo, los estafadores han empezado a hacerse pasar por reguladores tras la entrada en vigor de MiCA, otra muestra de cómo el crimen adapta sus métodos al contexto normativo y tecnológico.

Qué pueden hacer los usuarios

Las recomendaciones son las de siempre, pero cobran nueva relevancia frente a esta técnica:

• Desconfiar de cualquier CAPTCHA que pida copiar comandos, pegar texto en una consola o pulsar combinaciones de teclas. Una verificación legítima nunca exige eso.
• Mantener actualizado el sistema operativo y las soluciones de seguridad, que pueden detectar la ejecución del comando malicioso.
• Evitar ejecutar scripts o instrucciones cuyo origen no esté claro, incluso en sitios aparentemente confiables que podrían estar comprometidos.

Para el ecosistema, el mensaje es incómodo. La misma inmutabilidad que hace valiosas a las redes públicas también las convierte en un refugio para quien quiere esconder código dañino donde nadie pueda borrarlo. La respuesta, por ahora, pasa menos por la cadena y más por el eslabón humano frente a la pantalla.