Een omvangrijke campagne, aangeduid als ClearFake, maakt momenteel gebruik van een geavanceerde nep-CAPTCHA-scam die gericht is op het stelen van cryptovaluta, inloggegevens en het omzeilen van endpointbeveiliging. De methode maakt gebruik van gecompromitteerde websites als lanceerplatformen, waar bezoekers worden misleid om schijnbaar alledaagse taken uit te voeren. Dit fenomeen is niet nieuw; eerdere webcampagnes met de Amatera-stealer vertoonden reeds vergelijkbare tactieken met valse verificatieschermen, wat aangeeft dat dit social-engineering model nog steeds effectief is.

De aanvalsketen begint met de injectie van kwaadaardige JavaScript via een geïnfecteerde Cloudflare Worker op een gecompromitteerde website. Vervolgens wordt de omgeving van de bezoeker geanalyseerd, waarna aanvullende code wordt opgehaald van de BNB Smart Chain. Een overtuigende verificatieprompt, die sterk lijkt op een Google CAPTCHA en mogelijk via een ClickFix-prompt wordt getoond, verschijnt vervolgens op het scherm.

Gebruikers van Windows wordt gevraagd het Uitvoeren-dialoogvenster te openen, klembordinhoud te plakken en op Enter te drukken. Deze actie activeert een opdracht die een extern WebDAV-pad benadert en `rundll32` aanroept om een bibliotheek te exporteren. Deze aanpak verschuift de kritieke uitvoeringsstap naar het slachtoffer, waardoor geen browser-exploit nodig is en gebruik wordt gemaakt van legitieme Windows-componenten.

Na het uitvoeren van deze stappen door een gebruiker, downloadt een externe lader een gecamoufleerde bibliotheek en voert deze uit via WebDAV. Analisten van Cisco Talos identificeerden deze activiteit na het waarnemen van ongebruikelijke externe bibliotheekuitvoering bij een Oekraïense overheidsorganisatie in april 2026, als onderdeel van een bredere diefstaloperatie. Cisco Talos traceerde de activiteit van deze specifieke externe lader-tak onder de code UAT-10820.

In een variant van de aanval wordt een legitieme, ondertekende Chrome-component misbruikt om via DLL side-loading een kwaadaardige bibliotheek te laden. Deze bibliotheek start vervolgens ZigCryptoStealer en een ondertekende, maar kwetsbare, Windows-driver.

ZigCryptoStealer monitort het klembord op cryptovaluta-adressen en is in staat om gekopieerde adressen te vervangen door die van de aanvaller. De malware maakt gebruik van een blockchain-contract, genaamd EtherHiding, voor het verkrijgen van command-and-control infrastructuur, waardoor aanvallers de communicatie kunnen bijwerken zonder de originele code te wijzigen.

De lader scant op aanwezigheid van EDR-producten en stuurt de bijbehorende proces-ID's door naar de driver, die deze kan beëindigen. Dit wordt aangeduid als een BYOVD-aanval (Bring Your Own Vulnerable Driver), waarbij een driver diep in het besturingssysteem draait om beveiligingsmaatregelen te omzeilen.

Een afzonderlijke tak van de aanval maakt gebruik van een soortgelijk WebDAV-patroon om een PowerShell-script uit te voeren. Dit script installeert een onbevoegde externe-toegangclient, die zijn interface verbergt, verbinding maakt met een gateway van de aanvaller en een taak aanmaakt die wordt uitgevoerd bij het inloggen.

Potentiële gevolgen van deze aanvallen zijn onder meer diefstal van browsergegevens, installatie van een cryptodief die wallet-adressen manipuleert, of het verkrijgen van externe controle over de computer. De externe-toegangmogelijkheid faciliteert zowel geautomatiseerde diefstal van wachtwoorden, sessiegegevens, wallet-informatie en bestanden, als menselijke bediening van de desktop.

Organisaties worden geadviseerd om personeel te onderwijzen dat legitieme CAPTCHA-controles nooit vereisen dat gebruikers het Uitvoeren-dialoogvenster, Terminal, PowerShell of Opdrachtprompt openen en daarin commando's plakken. Beveiligingsteams wordt aangeraden om ongebruikelijke WebDAV-verkeer, `rundll32`-uitvoeringen op basis van ordinalen, onverwachte driver-services en nieuw aangemaakte geplande taken te onderzoeken. Het implementeren van driver-bloklijsten en beschermingen tegen het gebruik van kwetsbare drivers wordt tevens aanbevolen.