Une vaste opération cybercriminelle exploite des milliers de sites web de petites entreprises compromises pour distribuer des charges utiles ClickFix malveillantes dissimulées dans des contrats intelligents de la BNB Smart Chain (BSC), selon des chercheurs en sécurité.

Au cours des derniers mois, les chercheurs ont identifié plus de 5 400 sites web compromises impliqués dans cette campagne. La plupart des sites touchés étaient construits sur WordPress et PrestaShop, deux plateformes largement utilisées pour les sites de petites entreprises ; WordPress alimente à lui seul une part substantielle du web, et les deux plateformes ont historiquement été ciblées par des attaquants exploitant des plugins obsolètes, des identifiants faibles et des installations non corrigées. La méthode utilisée par les attaquants pour obtenir initialement l'accès à ces sites reste inconnue.

Une fois un site compromis, les attaquants y injectent un script qui récupère du contenu malveillant supplémentaire depuis un contrat intelligent via un point de terminaison d'appel de procédure à distance (RPC) du Testnet BSC. Cette technique est connue sous le nom d'EtherHiding, whereby les acteurs de menace utilisent l'infrastructure blockchain pour dissimuler du code malveillant ou des données de configuration. EtherHiding a été documenté publiquement pour la première fois par des chercheurs en 2024, et sa réutilisation ici contre l'infrastructure BSC illustre comment cette approche a persisté et s'est adaptée à différentes chaînes.

Les attaquants exploitent l'infrastructure blockchain

Le Testnet BSC est destiné principalement aux développeurs testant leurs applications avant de les déployer sur la blockchain de production. Comme il fonctionne de manière similaire au mainnet tout en évitant les coûts associés aux transactions de production, il offre aux attaquants une infrastructure pratique pour distribuer du contenu malveillant. Étant donné que les données blockchain sont répliquées sur de nombreux nœuds et sont difficiles à supprimer unilatéralement, les démantèlements efficaces contre les hébergeurs conventionnels sont bien plus difficiles à exécuter contre des charges utiles stockées dans des contrats.

En stockant les charges utiles malveillantes dans des contrats intelligents, les attaquants disposent d'une couche d'infrastructure difficile à perturber, puisque le contenu peut être récupéré via des systèmes blockchain décentralisés plutôt que de dépendre entièrement d'un hébergement web conventionnel.

La campagne utilisait initialement les sites compromis pour afficher un appât d'ingénierie sociale ClickFix. Les visiteurs se voyaient présenter ce qui semblait être une page de vérification CAPTCHA. Plutôt que de compléter un processus de vérification normal, les utilisateurs étaient invités à ouvrir la boîte de dialogue Exécuter de Windows et à y coller une commande PowerShell. Si un visiteur suivait ces instructions, la commande téléchargeait et exécutait la charge utile malveillante finale sur son ordinateur. Les appâts de type ClickFix — de fausses invites de vérification ou de mise à jour incitant les utilisateurs à coller eux-mêmes des commandes — sont devenus une technique d'ingénierie sociale largement signalée au cours de l'année écoulée, en partie parce que la victime exécute l'action directement, contournant ainsi de nombreuses protections basées sur le navigateur.

Comme les attaquants contrôlaient le contenu stocké dans le contrat intelligent, ils pouvaient mettre à jour la charge utile sans modifier chaque site compromis. Les chercheurs ont ensuite observé un changement important dans le mécanisme de livraison : l'acteur de menace a remplacé la charge utile ClickFix stockée dans le contrat intelligent par un stager basé sur WebRTC, introduisant une nouvelle méthode pour établir la communication avec l'attaquant.

WebRTC utilisé pour la livraison furtive de code

La variante plus récente crée une connexion pair et un canal de données WebRTC. Les chercheurs ont découvert que le script génère une offre de description de session ressemblant à un processus de connexion WebRTC légitime, mais construit ensuite lui-même la réponse correspondante au lieu de communiquer avec un véritable pair distant. Cette technique permet au script malveillant d'établir un canal de données sans compléter une poignée de main WebRTC conventionnelle, et le canal résultant sert de voie de communication furtive avec l'attaquant. WebRTC est une technologie de navigateur standard normalement utilisée pour les appels vidéo et le transfert de fichiers pair à pair, ce qui aide le trafic malveillant à se fondre dans l'activité web légitime.

Le stager contient une adresse de commande et contrôle codée en dur depuis laquelle il reçoit du code JavaScript. Le code entrant est mis en mémoire tampon et exécuté après la fermeture du canal de communication ou après un intervalle de 10 secondes. Le JavaScript reçu est assemblé directement dans la mémoire du navigateur et exécuté dynamiquement via le document object model, ce qui permet au code de s'exécuter sans jamais être écrit sur le disque.

Cette approche peut rendre la détection traditionnelle des points de terminaison plus difficile, car le code malveillant n'apparaît pas nécessairement comme un fichier conventionnel sur le système de la victime. Elle donne également aux attaquants la flexibilité de modifier le code livré aux visiteurs.

Plus de 300 sites web actifs chaque jour

La télémétrie de Netskope indique que la campagne reste active à une échelle substantielle. Les chercheurs ont déclaré que plus de 300 sites web infectés étaient impliqués quotidiennement dans l'opération, tandis que le nombre de sites compromis communiquant avec des points de terminaison RPC du Testnet BSC n'a cessé d'augmenter depuis le printemps. En août, la télémétrie montrait près de 400 sites web contactant les points de terminaison concernés chaque jour, et la campagne a atteint un pic quotidien record de 536 sites.

Ces résultats soulignent comment l'infrastructure blockchain peut être détournée pour faire partie d'un réseau de distribution de logiciels malveillants. Plutôt que de dépendre uniquement de serveurs de commande et contrôle conventionnels ou de services d'hébergement de contenu, les attaquants combinent des sites web compromis, des contrats intelligents et des mécanismes de communication basés sur le navigateur. Pour les propriétaires de petits sites d'entreprise, cette campagne souligne également le risque opérationnel que représente l'exploitation d'installations CMS non maintenues, car les sites compromis peuvent silencieusement servir du contenu malveillant à leurs propres visiteurs.

Netskope recommande aux défenseurs de bloquer le pool de points de terminaison RPC du Testnet BSC associés à la campagne. Les équipes de sécurité sont également invitées à surveiller l'activité réseau pour détecter le trafic UDP non web lié à WebRTC, ce qui pourrait aider à identifier les systèmes participant au nouveau mécanisme de livraison.

Source : CoinTrust