1. Hackers infecteren legitieme WordPress-websites met een versleutelde JavaScript-injectie om later een malware-lader te verspreiden.
2. Via de gecompromitteerde WordPress-site wordt een lokmiddel getoond, een valse verificatiepagina die gestyled is als een Google reCAPTCHA, Cloudflare Turnstile of een Windows-foutscherm.
3. Deze pagina, gecreëerd door de malware-leveringsdienst ErrTraffic, vraagt bezoekers om een kwaadaardig PowerShell-commando naar het klembord te kopiëren en uit te voeren.
4. Een bezoeker die de instructies volgt, voert onbewust een PowerShell-commando uit, wat de weg opent voor de Cruciferra-lader en de Remus-informatiedief.
5. De aanval combineert gecompromitteerde websites, een valse browserverificatieprompt en een door het slachtoffer zelf uitgevoerd Windows-commando.
6. De ErrTraffic-campagne maakt gebruik van zogenaamde ClickFix-lokmiddelen.
7. De campagne maakt gebruik van een Windows-commando dat slachtoffers zelf uitvoeren.
8. De aanval demonstreert hoe aanvallers verfijnde social engineering combineren met een kernel-level methode om endpoint-beveiligingen uit te schakelen.
9. Cruciferra is ontworpen om een apparaat te "verblinden" door beveiligingssoftware uit te schakelen voordat verdere schadelijke activiteiten worden uitgevoerd.
10. Dit gebeurt door een legitiem, maar kwetsbaar, door Microsoft ondertekend stuurprogramma te misbruiken, genaamd DCRCVDrv.sys, om de beëindiging van processen vanuit de Windows-kernel aan te vragen.
11. De lader schrijft dit stuurprogramma naar de Windows Temp-directory, maakt een service aan en begint met het targeten van beveiligingen.
12. Standaard worden 145 antivirus- en EDR-gerelateerde procesnamen geconfigureerd om te beëindigen.
13. Het uitschakelen van deze processen kan waardevolle waarschuwings- en beheersingscontroles verwijderen.
14. Dit maakt gebruik van een "bring-your-own-vulnerable-driver"-techniek.
15. Later worden PowerShell-fasen gebruikt om Cruciferra als mscoree.dll te side-loaden, gebruikmakend van een legitiem door Microsoft ondertekend programma.
16. De lader gebruikt vervolgens process hollowing om de Remus-informatiedief binnen ServiceModelReg.exe te plaatsen.
17. ErrTraffic maakt gebruik van Polygon blockchain smart contracts om zijn command server te lokaliseren.
18. De ErrTraffic-dienst biedt targetingfilters en sjablonen voor Windows, Linux en macOS.
19. In de late maand juli 2026 identificeerden analisten van eSentire verschillende door ErrTraffic gegenereerde campagnes.
20. Verdedigers wordt geadviseerd om het geïdentificeerde stuurprogramma te blokkeren op hash en de beveiligingen van Microsoft voor kwetsbare stuurprogramma's ingeschakeld te houden.
21. Gebruikersbewustzijnstraining moet benadrukken dat echte CAPTCHA-controles nooit vragen om commando's in Windows te plakken.
22. Organisaties moeten een detectie van de lader, het stuurprogramma of de genoemde netwerkinfrastructuur behandelen als een mogelijke actieve compromis.
23. Het monitoren van malware die endpoint-verdedigingen uitschakelt, is belangrijk.