Eine ClickFix-Kampagne kompromittierte mindestens 31 Unternehmen und nutzte dabei die Polygon-Blockchain, damit Malware ihre Command-and-Control-Server finden konnte. Das geht aus einer Untersuchung von GuidePoint Security hervor, über die Dark Reading am 1. September 2026 berichtete. Die als EtherHiding bekannte Technik verwendet Blockchain-Smart-Contracts als von den Angreifern kontrolliertes Adressbuch. Infizierte Systeme können eine aktualisierte Serveradresse abrufen, ohne dass eine neue Malware-Version erforderlich ist.

Die Erkenntnis betrifft die Nutzung der Blockchain-Infrastruktur durch Angreifer, nicht einen gemeldeten Angriff auf das Polygon-Protokoll. Sie bedeutet auch nicht, dass die Malware nicht erkannt werden kann. Der enger gefasste Punkt von GuidePoint lautet: Das Blockieren einer einzelnen Command-and-Control-Domain oder IP-Adresse kann einen Angreifer möglicherweise nicht dauerhaft stoppen, wenn dieser ein neues Ziel veröffentlichen kann, das die Malware anschließend abruft.

Kompromittierte Websites und täuschende Verifizierungsaufforderungen

Das Research and Intelligence Team von GuidePoint stützte seine Ergebnisse auf Blockchain-Forensik, Belege aus der Incident Response und Analysen des Malware-Quellcodes. Zu den betroffenen Organisationen gehörten Unternehmen aus den Bereichen E-Commerce, professionelle Dienstleistungen und Einzelhandelslogistik. Der Bericht unterscheidet zwischen einer kompromittierten Unternehmenswebsite und einer Person, die dort auf schädliche Inhalte trifft. Die Zahl von mindestens 31 Organisationen sollte daher nicht als Zahl infizierter Computer verstanden werden.

Jean-Pierre Mouton, Senior Threat Intelligence Consultant bei GuidePoint, erklärte, dass Angreifer schädliches JavaScript in kompromittierte Unternehmenswebsites eingebettet hätten. Auch Suchmaschinenvergiftung war Bestandteil der Kampagne. Wenn ein Besucher eine betroffene Seite aufrief, bewertete ein vorgeschalteter Mechanismus den Besucher, bevor eine täuschende Oberfläche zur Verifizierung des menschlichen Nutzers angezeigt wurde. Diese Oberfläche enthielt den ClickFix-Köder und brachte den Besucher dazu, einen Befehl auszuführen, der als Voraussetzung für die Fortsetzung dargestellt wurde.

Das vertraute Erscheinungsbild des Verifizierungsfensters war Teil der Täuschung. Die Ähnlichkeit mit einer Cloudflare-Prüfung belegt nicht, dass Cloudflare selbst kompromittiert wurde. In dieser Kampagne führte das Befolgen des Köders zur Ausführung eines Droppers, der einen Staging-Server kontaktierte. Laut Moutons Darstellung installierte der Staging-Server anschließend einen Command-and-Control-Agenten sowie einen Mechanismus zur dauerhaften Verankerung im System.

Polygon liefert ein wechselndes Command-and-Control-Ziel

Die installierte Hintertür fragte Polygon ab, um ihr aktuelles Command-and-Control-Ziel zu erhalten. Mouton beschrieb die Blockchain als ein von den Angreifern kontrolliertes Adressbuch: Die Adresse konnte geändert werden, während die Malware auf dem infizierten Rechner unverändert blieb. Dadurch wurde das Serverziel von einer festen Adresse getrennt, die Verteidiger andernfalls einmalig hätten blockieren können.

Mouton sagte, der Angreifer könne infizierte Rechner für Bruchteile eines Cents pro Transaktion auf einen neuen Server umleiten. Die Untersuchung beschrieb außerdem eine Hintertür, die Neustarts überstand und jede Minute ein Signal an ihren Controller sendete. Dabei handelt es sich um gemeldete Eigenschaften der von den Forschern untersuchten Malware. Daraus folgt weder, dass sich jedes Programm mit Polygon auf diese Weise verhält, noch dass jede Polygon-Verbindung schädlich ist.

Das Team entdeckte die Blockchain-Verbindung während einer Untersuchung, die es zunächst für eine gewöhnliche Untersuchung eines Business Email Compromise hielt. Ein Persistenzskript kontaktierte Polygon; weitere Analysen und Ermittlungen legten anschließend die EtherHiding-Infrastruktur offen. Mouton sagte gegenüber Dark Reading, dass frühere EtherHiding-Aktivitäten überwiegend Binance oder Ethereum genutzt hätten. Die Verwendung von Polygon-Smart-Contracts sei daher ein charakteristisches Merkmal dieser Kampagne.

Einschätzung des nicht identifizierten Akteurs

Mouton schätzte den nicht identifizierten Akteur als wahrscheinlichen Initial-Access-Broker ein. Diese Einschätzung bestätigt nicht die Identität des Akteurs. Die Kombination aus Dropper, dauerhaftem Zugriff und einem wechselnden Command-and-Control-Ziel unterscheidet sich von dem vertrauteren ClickFix-Muster, das Mouton beschrieb und bei dem eine Malware zum Diebstahl von Informationen auf einen Controller angewiesen ist, den Verteidiger blockieren können.

Die Quelle erörtert außerdem mögliche Methoden zur Kompromittierung von Unternehmenswebsites, darunter die massenhafte Ausnutzung einer WordPress-Schwachstelle oder einen anderen Mechanismus. Sie nennt keine konkrete WordPress-Schwachstelle, die bei diesen Vorfällen verwendet wurde. Die Verweise auf WooCommerce und Magento beziehen sich auf eine separate Magecart-Kampagne und sollten nicht als Plattformliste für diese ClickFix-Untersuchung verstanden werden.

Schutzmaßnahmen vor und nach einer Infektion

In der Darstellung der Untersuchung durch Dark Reading empfahl Mouton Schulungen für Mitarbeitende, die sich ausdrücklich mit ClickFix und anderen Social-Engineering-Taktiken befassen. Die anfängliche Täuschung bleibt von Bedeutung, auch wenn die Blockchain-Infrastruktur erst später im Angriff zum Einsatz kommt. Das Erkennen einer Seite, die Besucher zur Ausführung eines angeblichen Verifizierungsbefehls auffordert, könnte den Angriff bereits vor den nachfolgenden Phasen unterbrechen.

Zu seinen technischen Empfehlungen gehörten PowerShell-Protokollierung und eine wirksame Alarmierung bei potenziell schädlichen Skripten. Außerdem empfahl er, den Zugriff auf Endpunkte für Blockchain-Abfragen einzuschränken, sofern es die geschäftlichen Anforderungen erlauben. Diese Einschränkung ist für Organisationen relevant, die Blockchain-Dienste rechtmäßig nutzen; die Empfehlung stellt kein bedingungsloses Verbot des gesamten Datenverkehrs dar.

Mouton sagte, dass das Blockieren der spezifischen RPC-Endpunkte, die im PowerShell-Skript dieser Malware fest codiert sind, den Weg zum Controller unterbrechen würde. Dabei handelt es sich um eine gezielte Schutzmaßnahme, die sich vom Blockieren einer einzelnen, austauschbaren Serveradresse unterscheidet. Die zentrale Lehre aus den Ergebnissen lautet, dass Verteidiger verstehen müssen, wie die Malware ihr Ziel erhält, und zugleich die täuschende Aufforderung sowie die Skriptausführung bekämpfen müssen, die der Kommunikation vorausgehen.

Quelle: Blocktelegraph.