Une campagne ClickFix a compromis au moins 31 organisations en utilisant la blockchain Polygon pour aider des logiciels malveillants à localiser leurs serveurs de commande et de contrôle, selon une étude de GuidePoint Security couverte par Dark Reading le 1er septembre 2026. La technique, connue sous le nom d’EtherHiding, utilise des contrats intelligents blockchain comme carnet d’adresses contrôlé par l’attaquant. Les systèmes infectés peuvent récupérer une adresse serveur mise à jour sans nécessiter une nouvelle version du logiciel malveillant.

Cette découverte concerne l’utilisation de l’infrastructure blockchain par les attaquants, et non une compromission signalée du protocole Polygon. Elle ne signifie pas non plus que le logiciel malveillant est indétectable. Le point plus précis de GuidePoint est que le blocage d’un seul domaine ou d’une seule adresse IP de commande et de contrôle peut ne pas perturber durablement un attaquant capable de publier une destination de remplacement que le logiciel malveillant pourra récupérer.

Sites web compromis et fausses invites de vérification

L’équipe Research and Intelligence de GuidePoint a fondé ses conclusions sur l’analyse forensique de la blockchain, des éléments issus de la réponse aux incidents et du code source des logiciels malveillants. Les organisations touchées comprenaient des entreprises du commerce électronique, des services professionnels et de la logistique de détail. Le rapport distingue un site web professionnel compromis d’une personne qui y rencontre un contenu malveillant. En conséquence, le chiffre d’au moins 31 organisations ne doit pas être interprété comme un décompte des ordinateurs infectés.

Jean-Pierre Mouton, consultant senior en renseignement sur les menaces chez GuidePoint, a déclaré que les attaquants avaient intégré du JavaScript malveillant dans des sites web professionnels compromis. L’empoisonnement des moteurs de recherche faisait également partie de la campagne. Lorsqu’un visiteur accédait à une page touchée, un mécanisme de filtrage l’évaluait avant d’afficher une fausse fenêtre de vérification humaine. Cette fenêtre présentait le leurre ClickFix et incitait le visiteur à exécuter une commande présentée comme nécessaire pour poursuivre.

L’apparence familière de l’écran de vérification participait à la tromperie. Sa ressemblance avec une vérification Cloudflare ne permet pas d’établir que Cloudflare lui-même a été compromis. Dans cette campagne, le fait de suivre le leurre exécutait un dropper qui contactait un serveur de mise en scène. Selon le récit de Mouton, ce serveur installait ensuite un agent de commande et de contrôle ainsi qu’un mécanisme de persistance.

Polygon fournit une destination de commande évolutive

La porte dérobée installée interrogeait Polygon pour obtenir sa destination actuelle de commande et de contrôle. Mouton a décrit la blockchain comme un carnet d’adresses contrôlé par l’attaquant : l’adresse pouvait changer tandis que le logiciel malveillant présent sur la machine infectée restait inchangé. La destination du serveur était ainsi dissociée d’une adresse fixe que les défenseurs auraient autrement pu bloquer une fois pour toutes.

Mouton a indiqué que l’attaquant pouvait rediriger les machines infectées vers un nouveau serveur pour une fraction de centime par transaction. L’étude décrivait également une porte dérobée qui survivait aux redémarrages et envoyait un signal à son contrôleur chaque minute. Il s’agit de caractéristiques rapportées du logiciel malveillant étudié par l’équipe. Elles n’indiquent pas que tous les programmes utilisant Polygon se comportent de cette manière ni que toute connexion à Polygon est malveillante.

L’équipe a découvert la connexion à la blockchain au cours de ce qu’elle pensait initialement être une enquête classique sur une compromission de messagerie professionnelle. Un script de persistance contactait Polygon, et des analyses et investigations ultérieures ont révélé l’infrastructure EtherHiding. Mouton a déclaré à Dark Reading que les activités EtherHiding précédentes avaient principalement impliqué Binance ou Ethereum, ce qui faisait de l’utilisation des contrats intelligents Polygon une caractéristique distinctive de cette campagne.

Évaluation de l’acteur non identifié

Mouton a estimé que l’acteur non identifié était probablement un courtier en accès initial. Cette évaluation ne permet pas d’établir l’identité de l’acteur. La combinaison d’un dropper, d’un accès persistant et d’une destination de commande évolutive diffère du schéma ClickFix plus familier qu’il a décrit, dans lequel une charge utile dérobant des informations dépend d’un contrôleur que les défenseurs peuvent bloquer.

La source évoque également plusieurs méthodes susceptibles d’avoir été utilisées pour compromettre des sites web professionnels, notamment l’exploitation massive d’une vulnérabilité WordPress ou un autre mécanisme. Elle n’identifie pas de vulnérabilité WordPress précise utilisée dans ces incidents. Les références à WooCommerce et Magento concernent une campagne Magecart distincte et ne doivent pas être considérées comme une liste de plateformes impliquées dans cette enquête ClickFix.

Les mesures de défense restent pertinentes avant et après l’infection

Dans le compte rendu de l’étude publié par Dark Reading, Mouton recommande une formation des employés portant spécifiquement sur ClickFix et les autres techniques d’ingénierie sociale. La tromperie initiale reste importante même si l’infrastructure blockchain intervient plus tard dans l’attaque. Reconnaître une page qui demande à un visiteur d’exécuter une prétendue commande de vérification pourrait interrompre l’attaque avant les étapes suivantes.

Ses recommandations techniques comprennent la journalisation de PowerShell avec des alertes efficaces en cas de scripts potentiellement malveillants. Il recommande également de restreindre l’accès aux points de terminaison d’interrogation de la blockchain lorsque les besoins opérationnels le permettent. Cette précision est importante pour les organisations qui utilisent légitimement des services blockchain ; la recommandation ne constitue pas une interdiction générale de tout ce type de trafic.

Mouton a déclaré que le blocage des points de terminaison RPC spécifiques codés en dur dans le script PowerShell de cette souche couperait sa route vers le contrôleur. Il s’agit d’une mesure de défense ciblée, distincte du blocage d’une seule adresse serveur remplaçable. La conclusion rapportée est que les défenseurs doivent comprendre comment le logiciel malveillant obtient sa destination, tout en traitant l’invite trompeuse et l’exécution du script qui précèdent cette communication.

Source : Blocktelegraph.