Angripare använde betrodda verktyg och arbetsflöden som såg legitima ut i två uppmärksammade attackkedjor under första halvåret 2026. I den ena kampanjen spreds skadlig kod via komprometterade företagskonton för e-post, medan den andra omdirigerade kryptobetalningar genom att ersätta kopierade plånboksadresser.
Kampanjerna använde olika typer av skadlig kod och infrastruktur. Båda utnyttjade dock samma svaghet: användarna litade på åtgärder som verkade normala innan angriparna i det tysta ändrade vad som hände därefter.
Komprometterade e-postkonton spred bankskadlig kod
Den första kampanjen riktade sig mot personer i Tjeckien, Slovakien, Polen och Litauen. Angriparna använde leveransaviseringar, fakturor och meddelanden om skannade dokument för att lura mottagarna att öppna skadliga bilagor.
Flera mejl kom från komprometterade företagskonton. Det gjorde meddelandena mer övertygande eftersom de skickades via riktiga företagskonton med etablerad avsändarhistorik.
Därför kunde vanliga e-postskydd ge begränsat skydd. SPF- och DKIM-kontroller kan fortfarande godkännas när angripare skickar meddelanden via ett kontos auktoriserade infrastruktur. Även ryktessystem kan betrakta avsändaren som legitim.
När ett offer öppnade bilagan startade en JavaScript-dropper infektionskedjan. Den körde flera PowerShell-steg innan den levererade shellcode och bankskadlig kod kopplad till GepyS.
Den skadliga koden ändrade därefter proxyinställningar och installerade ett webbläsartillägg. Förändringarna gav angriparna större möjlighet att påverka offrets internetbankaktivitet.
Hela kedjan gick från ett komprometterat e-postkonto till en JavaScript-dropper, PowerShell-steg och en shellcode-loader, för att slutligen manipulera proxyinställningar och webbläsaren.
Flera steg försvårade analysen
En nyttolast i det tredje steget använde en 32-bitars positionsoberoende loader som utformats för att försvåra statisk analys. Forskarna hittade överflödiga MMX- och SSE-instruktioner, hopp in i mitten av instruktioner samt en dekrypteringsrutin som använde en LFSR-genererad nyckelström och XOR-operationer.
Ingen av metoderna var ny. Kombinationen gjorde ändå snabb analys svårare.
Kampanjen krävde bara att mottagaren öppnade en enda bilaga. JavaScript och PowerShell hanterade därefter de senare stegen, medan ändringarna av proxyinställningar och webbläsaren gav angriparna möjlighet att störa banksessioner.
Andra aktiviteter under första halvåret 2026 följde liknande mönster. I Italien användes falska fakturor i PDF-format, bland annat med Booking.com-tema, för att leverera skript från Vercel, PowerShell-steg via Blogspot och XWorm. Samtidigt använde polska fakturabedrägerier en steganografisk .NET-loader för att installera Remcos RAT.
Kryptokapare ersatte plånboksadresser
Den andra attackkedjan under första halvåret 2026 fokuserade på kryptobetalningar. Den slutliga nyttolasten var en Rust-baserad urklippskapare som övervakade kopierat innehåll efter plånboksadresser.
Den skadliga koden hade stöd för 21 blockkedjetyper, däribland Bitcoin, Ethereum och Litecoin. När den upptäckte en kompatibel adress ersatte den adressen med ett alternativ som kontrollerades av angriparen.
Offren kunde följa sin vanliga betalningsprocess: kopiera en adress, klistra in den i en plånbok eller på en kryptobörs och sedan godkänna transaktionen. Destinationen hade dock redan ändrats innan betalningen signerades.
Själva blockkedjan hade inte komprometterats och plånbokens kryptografi förblev intakt. Transaktionen var giltig, men pengarna skickades till fel mottagare.
Långa plånboksadresser är svåra att kontrollera visuellt. Många jämför bara de första och sista tecknen, vilket ger angripare möjlighet att använda adresser som kan se korrekta ut vid en snabb kontroll.
Smarta kontrakt hjälpte till att hitta C2-infrastruktur
Urklippskaparen använde även Binance Smart Chain som en del av sin kommando- och kontrollinfrastruktur genom EtherHiding. I stället för att lagra hela sin backend på blockkedjan läste den skadliga koden infrastrukturpekare från ett smart kontrakt.
Dessa pekare ledde den skadliga koden vidare till domäner, webbadresser eller IP-adresser som kontrollerades av angriparna.
Metoden gjorde enkla listor över nätverksindikatorer mindre användbara. En domän kan blockeras eller ersättas, men data i smarta kontrakt förblir offentligt tillgängliga och är svårare att avlägsna genom vanliga nedtagningsprocesser.
Försvarare bör därför undersöka kontraktsadressen, metoden som används för att hämta dess data, den information som returneras och infrastrukturen som kontaktas därefter som en sammanhängande kedja.
Detektering måste täcka hela arbetsflödet
Organisationer bör korrelera misstänkt aktivitet efter att ett mejl levererats i stället för att bedöma varje händelse separat. En nedladdad bilaga som startar JavaScript, PowerShell som hämtar fler filer, körning av shellcode, ändrade proxyinställningar och ett nyinstallerat webbläsartillägg kan tillsammans tyda på en samordnad attack.
En legitim avsändarhistorik bör inte minska prioriteten för misstänkt beteende när ett e-postkonto kan ha komprometterats.
När det är lämpligt kan organisationer begränsa skripttolkar, använda programkontrollpolicyer för nedladdade bilagor och övervaka oväntade förändringar av webbläsartillägg eller proxyinställningar.
För kryptorelaterade hot bör försvarare leta efter processer som ändrar urklippets innehåll, matchning av plånboksadresser och blockkedjeförfrågningar från programvara som normalt inte ska göra sådana förfrågningar.
Användare bör verifiera hela destinationsadressen på enheten där signeringen sker omedelbart innan de godkänner en kryptobetalning. Adressböcker och tillåtelselistor kan också minska risken vid manuell inmatning eller kopiering av kända destinationer.
Båda kampanjerna visar varför betrodda mejl och välbekanta betalningssteg inte räcker som säkerhet i sig. Säkerhetskontroller måste omfatta varje steg mellan det första meddelandet, den kopierade adressen och det slutliga godkännandet.
0 svar till ”Attackkedjor under H1 2026 använder riktiga mejl och kapade kryptobetalningar”