Cybersecurity-Forscher haben eine Malware-Operation identifiziert, die die Polygon-Blockchain nutzt, um kritische Komponenten ihrer Lieferinfrastruktur zu verbergen und Abschaltmaßnahmen erheblich zu erschweren.

Die als ErrTraffic bezeichnete Kampagne richtet sich gegen WordPress-Websites und zweckt diese als Vertriebspunkte für gefälschte Verifizierungsseiten um. WordPress betreibt rund 40 % aller Websites weltweit und ist daher ein besonders attraktives Angriffsziel für Kompromittierungen dieser Art. Besucher kompromittierter Websites sehen Eingabeaufforderungen, die legitimen Browser-Prüfungen oder CAPTCHA-Verifizierungen ähneln, und werden durch Social Engineering dazu verleitet, Windows-Befehle manuell auszuführen. Dieser als ClickFix bezeichnete Ansatz beruht auf der Manipulation des Nutzerverhaltens und nicht auf der Ausnutzung von Software-Schwachstellen.

Sobald ein Opfer den Anweisungen folgt und den Befehl ausführt, wird Malware auf sein System heruntergeladen. Die Folgen variieren je nach Payload, können aber den Diebstahl von Browserdaten, gespeicherten Zugangsdaten, Session-Cookies und Kryptowährungs-Wallet-Informationen umfassen.

WatchGuard-Forscher haben die Aktivität über Telemetriedaten erkannt und sie einer ErrTraffic-Malware-as-a-Service-Operation zugeordnet, die in Foren von einem Nutzer unter dem Alias LenAI beworben wurde. Die Infrastruktur verteilte mehrere Malware-Familien, darunter Vidar, Okobot, LegionLoader, OnionDrop-bezogene Payloads und BabaDedaLoader.

Polygon-Smart-Contracts zur Verschleierung der Infrastruktur genutzt

Die Angriffskette beginnt, wenn ein Nutzer eine infizierte WordPress-Website besucht. Bösartiges JavaScript, das in die Seite eingebettet ist, verbirgt den tatsächlichen Endpunkt des Angreifers und kommuniziert stattdessen über Remote-Procedure-Call-(RPC)-Dienste mit dem Polygon-Netzwerk, um Konfigurationsdaten abzurufen, die in einem Smart Contract gespeichert sind.

Diese gespeicherten Daten leiten den Angriff an die aktuelle Infrastruktur des Angreifers weiter. Diese Methode, weithin als EtherHiding bekannt, stellt Strafverfolgungsbehörden und Sicherheitsteams vor erhebliche Herausforderungen, da Angreifer die in der Blockchain gespeicherte Konfiguration aktualisieren können, ohne den bösartigen Code auf jeder kompromittierten Website zu ändern. Da Smart Contracts auf öffentlichen Blockchains über ein dezentrales Netzwerk von Knoten repliziert werden, gibt es keinen einzelnen Host oder Registrar, den Behörden zur Entfernung der Daten zwingen könnten – ein struktureller Vorteil für Angreifer, den herkömmliche Domain- oder IP-basierte Abschaltmaßnahmen nicht adressieren können.

Die Infrastruktur umfasst zudem Traffic-Routing und geolokationsbasierte Filterung, die es Betreibern ermöglicht, selektiv zu bestimmen, welche Besucher mit bösartigen Inhalten versorgt werden. Diese Architektur erlaubt es verschiedenen Affiliates, Lieferwege zu modifizieren, während das zugrunde liegende Social-Engineering-Framework beibehalten wird.

Der PowerShell-Befehl in der letzten Phase kann eine zufällig benannte 7-Zip-Ausführungsdatei zusammen mit einem ebenfalls randomisierten Payload abrufen oder den bösartigen Payload direkt herunterladen. Konstruktionsbedingt initiiert das Opfer den Ausführungsschritt, wodurch die Abhängigkeit der Angreifer von traditionellen Software-Exploits verringert wird.

Mehrere Malware-Familien erhöhen die Bedrohung

Die Vielfalt der über diese Kampagne gelieferten Payloads erhöht das Risikoprofil erheblich. Vidar beispielsweise ist in der Lage, Browser- und Kryptowährungs-Wallet-Daten zu exfiltrieren. Forscher beobachteten spezifische Vidar-Varianten, die über Telegram, Steam und eine kompromittierte brasilianische Website kommunizierten.

Eine weitere Vidar-Variante erstellte Remote-Threads innerhalb von Google Chrome- und Microsoft Edge-Prozessen – eine Technik, die es Angreifern ermöglichen könnte, sensible Informationen zu extrahieren, die von diesen Browsern verwaltet werden.

Okobot wurde ebenfalls in der Kampagne identifiziert. Es wurde über ein ZIP-Archiv geliefert, das eine Datei namens Volume2 und eine bösartige DLL enthielt. Ermittler stellten fest, dass Okobot versucht, Microsoft Defender-Schutzmaßnahmen zu schwächen und Sicherheitskontrollen rund um LSASS zu beeinträchtigen – den Windows-Prozess, der für die Verwaltung von Authentifizierungsdaten verantwortlich ist.

Weitere Komponenten umfassten ein bösartiges MSI-Paket, das ein Node.js-Backdoor bereitstellte, welches über Tor für Command-and-Control-Operationen kommunizierte. Forscher dokumentierten zudem OnionDrop-Varianten, die DLL Side-Loading einsetzten, um bösartige Aktivitäten hinter legitimen Anwendungen zu verbergen.

Zusätzliche Infektionsketten wurden mit LegionLoader und BabaDedaLoader in Verbindung gebracht, was bestätigt, dass die Infrastruktur darauf ausgelegt ist, mehrere Malware-Familien gleichzeitig zu unterstützen, anstatt nur eine einzelne Bedrohung zu bedienen. Das parallele Vertriebsmodell spiegelt das breitere Malware-as-a-Service-Ökosystem wider, in dem Betreiber Lieferinfrastruktur an mehrere kriminelle Affiliates vermieten, die jeweils ihre eigenen Payloads einbringen.

Sicherheitsteams sollten die gesamte Angriffskette überwachen

Verteidiger sollten priorisieren, gefälschte Verifizierungsabfragen daran zu hindern, zu Ausführungsvektoren zu werden, und anomale PowerShell-Aktivitäten, Browser-Prozessinjektionsversuche sowie verdächtige Downloads nach Besuchen potenziell kompromittierter Websites untersuchen.

Organisationen können zudem WordPress-Websites überwachen, die das Cookie errtraffic_session setzen, und Netzwerkverbindungen zu Polygon-RPC-Endpunkten prüfen, die unmittelbar nach Besuchen dubioser Seiten auftreten. Neu erstellte DLL-Dateien und unerwartete Downloads können als zusätzliche Kompromittierungsindikatoren dienen.

Die Pflege aktueller WordPress-Installationen, Plugins und Themes in Kombination mit der Entfernung injizierter Skripte kann den Pool der für Exploits verfügbaren Websites reduzieren.

Die Kampagne unterstreicht einen breiteren Trend in der Cyberkriminalität, bei dem legitime Technologien zweckentfremdet werden, um bösartige Operationen zu verschleiern. Blockchain-Infrastruktur, integrierte Windows-Dienstprogramme, Browser-Prozesse und vertrauenswürdige Websites erfüllen jeweils nur eine enge Funktion innerhalb des Angriffs, doch ihre Integration macht die Gesamtoperation deutlich schwerer zu erkennen und zu zerschlagen. Mit der Reife von EtherHiding-Techniken könnten Verteidiger eine ähnliche Ausweitung auf andere EVM-kompatible Netzwerke über Polygon hinaus erleben, da der zugrunde liegende Ansatz der Speicherung von Konfigurationsdaten in Smart Contracts nicht chain-spezifisch ist.

Sicherheitsexperten empfehlen Organisationen, die vollständige Infektionskette zu überwachen, anstatt sich auf einzelne Malware-Familien zu konzentrieren, da dieser Ansatz eine höhere Wahrscheinlichkeit bietet, zukünftige ErrTraffic-Varianten zu erkennen.

Quelle: CoinTrust