Como a campanha opera
A cadeia inicia com código JavaScript embutido em páginas legítimas comprometidas que decodifica um snippet Base64 e consulta contratos na Binance Smart Chain testnet. Contratos distintos retornam código hex que, ao ser decodificado no navegador, decide a plataforma do visitante (Windows ou macOS) e solicita o payload correspondente.
Contratos e controle
Os pesquisadores identificaram contratos específicos usados na amostra analisada: para Windows o contrato 0x46790e2Ac7F3CA5a7D1bfCe312d11E91d23383Ff e para macOS 0x68DcE15C1002a2689E19D33A3aE509DD1fEb11A5. Há ainda um contrato de controle (gating) em 0xf4a32588b50a59a82fbA148d436081A48d80832A, que valida vítimas por um identificador persistente em cookie e permite ativar/desativar entrega sem alterar o site comprometido.
Mecanismo de entrega e execução
Após validadas, as vítimas veem um 'fake CAPTCHA' com instruções que copiam comandos para a área de transferência; a vítima é induzida a colar o conteúdo no Terminal (macOS) ou na caixa Run (Windows). Essa execução manual evita comportamento automático identificado por muitos sistemas de detecção, já que o usuário realiza o disparo local.
Payloads e persistência
Em macOS a carga usa AppleScript e curl para baixar um agente que cria persistência via LaunchAgent plist. Em ambos os casos os payloads observados incluem stealers conhecidos (Amos Stealer, Vidar) e rotinas para exfiltrar credenciais e senhas em texto claro, além de mecanismos de polling para receber comandos a cada 30 segundos. Para passar endereços de C2, o agente pode raspar perfis em plataformas públicas (Telegram, Steam) buscando elementos HTML específicos.
Impacto e sinais de comprometimento
EtherHiding representa uma mudança tática: armazenamento descentralizado dos payloads torna os vetores de entrega difíceis de derrubar via bloqueio de servidores tradicionais; a execução manual rompe muitos indicadores automatizados. Indicadores para detecção incluem páginas com overlays de 'captcha' que copiam comandos ao clipboard, atividades de download por AppleScript/curl e consultas a contratos BSC testnet a partir de páginas comprometidas.
Recomendações
- Monitorar sites que exibem CAPTCHAs incomuns e verificar conteúdo que manipula clipboard.
- Bloquear/inspecionar conexões a contratos e domínios associados e alertar equipes de TI sobre instruções que pedem execução manual de comandos.
- Educar usuários para nunca colarem comandos desconhecidos em terminais; tratar como vetor de engenharia social de alta confiança.
As observações técnicas foram publicadas com exemplos de contratos e fluxo de execução; as fontes fornecem detalhes sobre a cadeia EtherHiding utilizados na investigação da Censys.