Более 5400 взломанных сайтов распространяют вредоносные программы ClickFix, хранящиеся в блокчейне.

[admin]

Масштабная киберпреступная операция использует тысячи взломанных веб-сайтов малых предприятий для распространения вредоносных программ ClickFix, хранящихся в смарт-контрактах на блокчейне BNB Smart Chain (BSC).


За последние несколько месяцев исследователи выявили более 5400 взломанных веб-сайтов, большинство из которых были созданы на платформах WordPress и PrestaShop.


Первоначальный метод взлома остается неизвестным, но на каждом сайте был внедрен скрипт, который получает полезную нагрузку следующего этапа из смарт-контракта на конечной точке тестовой сети BSC — метод, известный как EtherHiding .

Исследователи платформы облачной безопасности Netskope объясняют, что тестовая сеть BSC Testnet предназначена для разработчиков и функционирует аналогично основной сети, производственному блокчейну, но доступна бесплатно.


Злоумышленники используют технологию EtherHiding для хранения вредоносного кода или данных конфигурации в смарт-контрактах блокчейна , создавая таким образом отказоустойчивую инфраструктуру, которую сложно вывести из строя.


В цепочке доставки, отслеживаемой Netskope, скрипт отображает приманку ClickFix, которая показывает поддельную CAPTCHA и предлагает посетителям открыть диалоговое окно «Выполнить» в Windows и вставить команду PowerShell.


Загрузка приманки ClickFix
Источник: Netskope

В результате загружается и выполняется окончательная полезная нагрузка на машине. Поскольку злоумышленник хранит полезную нагрузку в смарт-контракте, он может изменить ее в любое время.


Исследователи отмечают, что на более позднем этапе кампании злоумышленник заменил полезную нагрузку ClickFix в смарт-контракте на загрузчик канала передачи данных WebRTC.


В более новом варианте полезная нагрузка устанавливает скрытый зашифрованный канал связи со злоумышленником и выполняет полученный код.


«Скрипт создает одноранговое соединение и канал передачи данных, а затем генерирует необходимое предложение описания сессии, как при обычном рукопожатии WebRTC», — поясняет Netskope .


«Но вместо того, чтобы отправлять это предложение куда-либо и ждать реального ответа, система сама пишет ответ и передает его обратно в канал связи. Таким образом, никакого рукопожатия не происходит, но канал передачи данных киберпреступнику все равно открывается».



Источник: Netskope

Устройство подготовки получает код JavaScript с жестко заданного адреса командно-контрольного узла (C2), буферизует его и выполняет при закрытии канала или через десять секунд.


Полученный код собирается в памяти браузера и выполняется динамически без сохранения на диск путем добавления его в заголовок DOM-дерева.


Netskope предупреждает, что в ходе операции ежедневно используется более 300 зараженных веб-сайтов. С весны количество скомпрометированных сайтов, обращающихся к RPC-терминалам тестовой сети BSC, постоянно растет.


Данные телеметрии показывают, что в августе к конечной точке ежедневно обращались около 400 веб-сайтов, а абсолютный пик составил 536 обращений.


Специалисты по безопасности рекомендуют защитникам заблокировать весь пул RPC-терминалов тестовой сети BSC, предоставленный здесь , и отслеживать UDP-трафик, не связанный с веб-трафиком, но использующий WebRTC.

Источник