Angribere brugte betroede værktøjer og arbejdsgange, der så legitime ud, i to bemærkelsesværdige angrebskæder i første halvår af 2026. Én kampagne spredte malware gennem kompromitterede virksomheds-e-mailkonti, mens en anden omdirigerede kryptovalutabetalinger ved at erstatte kopierede wallet-adresser.
Kampagnerne brugte forskellig malware og infrastruktur. Begge udnyttede dog den samme svaghed: Brugerne stolede på handlinger, der virkede normale, før angriberne i det skjulte ændrede, hvad der skete bagefter.
Kompromitterede e-mailkonti spredte bankmalware
Den første kampagne var rettet mod personer i Tjekkiet, Slovakiet, Polen og Litauen. Angriberne brugte leveringsmeddelelser, fakturabeskeder og lokkemidler med scannede dokumenter til at overtale modtagerne til at åbne skadelige vedhæftede filer.
Flere e-mails kom fra kompromitterede virksomhedskonti. Det gjorde beskederne mere overbevisende, fordi de blev sendt gennem rigtige virksomhedskonti med etableret afsenderhistorik.
Derfor kunne almindelig e-mailbeskyttelse kun yde begrænset hjælp. SPF- og DKIM-kontroller kan stadig blive godkendt, når angribere sender beskeder gennem en kontos autoriserede infrastruktur. Omdømmesystemer kan også betragte afsenderen som legitim.
Efter at et offer åbnede den vedhæftede fil, startede en JavaScript-dropper infektionskæden. Den kørte flere PowerShell-stadier, før den leverede shellcode og bankmalware forbundet med GepyS.
Malwaren ændrede derefter proxyindstillinger og installerede en browserudvidelse. Disse ændringer gav angriberne bedre mulighed for at påvirke offerets netbankaktivitet.
Hele kæden gik fra en kompromitteret e-mailkonto til en JavaScript-dropper, PowerShell-stadier og en shellcode-loader og sluttede med manipulation af proxyindstillinger og browseren.
Malware-stadier gjorde analysen langsommere
En payload i tredje stadium brugte en 32-bit positionsuafhængig loader, der var designet til at komplicere statisk analyse. Forskerne fandt overflødige MMX- og SSE-instruktioner, spring ind i midten af instruktioner og en dekrypteringsrutine, der brugte en LFSR-genereret nøglestrøm og XOR-operationer.
Ingen af disse metoder var nye. Kombinationen gjorde dog hurtig analyse vanskeligere.
Kampagnen krævede kun, at modtageren åbnede én vedhæftet fil. JavaScript og PowerShell håndterede derefter de senere stadier, mens ændringerne af proxy- og browserindstillinger gav angriberne mulighed for at gribe ind i netbanksessioner.
Anden aktivitet i første halvår af 2026 fulgte lignende mønstre. I Italien leverede falske fakturaer i PDF-format, herunder lokkemidler med Booking.com-tema, scripts hostet på Vercel, PowerShell-stadier via Blogspot og XWorm. Samtidig brugte polske fakturasvindlere en steganografisk .NET-loader til at installere Remcos RAT.
Kryptokaprer erstattede wallet-adresser
Den anden af angrebskæderne i første halvår af 2026 fokuserede på kryptovalutabetalinger. Den endelige payload var en Rust-baseret udklipsholderkaprer, der overvågede kopieret indhold for wallet-adresser.
Malwaren understøttede 21 typer blockchains, herunder Bitcoin, Ethereum og Litecoin. Når den registrerede en understøttet adresse, erstattede den den med et alternativ, som angriberen kontrollerede.
Ofrene kunne følge deres normale betalingsproces: kopiere en adresse, indsætte den i en wallet eller på en kryptobørs og derefter godkende transaktionen. Destinationen var dog allerede blevet ændret, før betalingen blev signeret.
Selve blockchainen var ikke kompromitteret, og walletens kryptografi forblev intakt. Transaktionen var gyldig, men den sendte pengene til den forkerte modtager.
Lange wallet-adresser er svære at kontrollere visuelt. Mange sammenligner kun de første og sidste tegn, hvilket giver angribere mulighed for at bruge adresser, der kan se korrekte ud ved et hurtigt blik.
Smart contracts hjalp med at finde C2-infrastruktur
Udklipsholderkapreren brugte også Binance Smart Chain som en del af sin command-and-control-opsætning gennem EtherHiding. I stedet for at gemme hele sin backend på blockchainen læste malwaren infrastrukturhenvisninger fra en smart contract.
Disse henvisninger førte malwaren til domæner, URL’er eller IP-adresser, som angriberne kontrollerede.
Denne tilgang gjorde simple lister over netværksindikatorer mindre nyttige. Et domæne kan blokeres eller erstattes, men data i smart contracts forbliver offentligt tilgængelige og er vanskeligere at fjerne gennem almindelige nedtagningsprocesser.
Forsvarere bør derfor undersøge kontraktadressen, metoden der bruges til at hente dens data, de returnerede oplysninger og den infrastruktur, der kontaktes bagefter, som én sammenhængende kæde.
Detektion skal dække hele arbejdsgangen
Organisationer bør sammenholde mistænkelig aktivitet efter levering af e-mail i stedet for at vurdere hver hændelse separat. En downloadet vedhæftet fil, der starter JavaScript, PowerShell, som henter flere filer, kørsel af shellcode, ændringer af proxyindstillinger og en nyinstalleret browserudvidelse kan indikere ét koordineret angreb.
En legitim afsenderhistorik bør ikke reducere prioriteten af mistænkelig adfærd, når en e-mailkonto kan være blevet kompromitteret.
Hvor det er relevant, kan organisationer begrænse scriptfortolkere, anvende politikker for applikationskontrol på downloadede vedhæftede filer og overvåge uventede ændringer af browserudvidelser eller proxyindstillinger.
Ved trusler mod kryptovaluta bør forsvarere lede efter processer, der ændrer indholdet i udklipsholderen, matching af wallet-adresser og blockchain-forespørgsler fra software, der normalt ikke bør foretage dem.
Brugere bør kontrollere hele destinationsadressen på den enhed, hvor signeringen foretages, umiddelbart før de godkender en kryptovalutabetaling. Adressebøger og tilladelseslister kan også reducere risikoen ved manuelt at indtaste eller kopiere kendte destinationer.
Begge kampagner viser, hvorfor betroede e-mails og velkendte betalingstrin ikke er tilstrækkelige i sig selv. Sikkerhedskontroller skal dække hvert trin mellem den første besked, den kopierede adresse og den endelige godkendelse.
0 svar til “Angrebskæder i H1 2026 bruger ægte e-mails og kaprede kryptobetalinger”