Des chercheurs en cybersécurité ont identifié une opération de logiciels malveillants qui exploite la blockchain Polygon pour dissimuler des composants critiques de son infrastructure de distribution, compliquant considérablement les efforts de démantèlement.

La campagne, désignée sous le nom d'ErrTraffic, cible les sites Web WordPress et les reconvertit en points de distribution pour de fausses pages de vérification. WordPress alimente environ 40 % de tous les sites Web dans le monde, ce qui en fait une surface particulièrement attractive pour les compromissions de cette nature. Les visiteurs des sites compromis rencontrent des invites conçues pour ressembler à des contrôles de navigateur légitimes ou à des vérifications CAPTCHA, et sont manipulés par ingénierie sociale pour exécuter manuellement des commandes Windows. Cette approche, appelée ClickFix, dépend de la manipulation du comportement de l'utilisateur plutôt que de l'exploitation de vulnérabilités logicielles.

Une fois qu'une victime se conforme aux instructions et exécute la commande, un logiciel malveillant est téléchargé sur son système. Les conséquences varient selon la charge utile, mais peuvent inclure le vol de données de navigation, d'identifiants stockés, de cookies de session et d'informations de portefeuille de cryptomonnaies.

Les chercheurs de WatchGuard ont détecté l'activité grâce aux données de télémétrie et l'ont attribuée à une opération de logiciels malveillants en tant que service ErrTraffic annoncée sur des forums par un utilisateur opérant sous l'alias LenAI. Il a été découvert que l'infrastructure distribuait plusieurs familles de logiciels malveillants, notamment Vidar, Okobot, LegionLoader, les charges liées à OnionDrop et BabaDedaLoader.

Des contrats intelligents Polygon utilisés pour masquer l'infrastructure

La chaîne d'attaque commence lorsqu'un utilisateur visite un site WordPress infecté. Le code JavaScript malveillant intégré dans la page dissimule le point de terminaison réel de l'attaquant, communiquant plutôt avec le réseau Polygon via des services d'appel de procédure à distance (RPC) pour récupérer les données de configuration stockées dans un contrat intelligent.

Ces données stockées dirigent l'attaque vers l'infrastructure actuelle de l'attaquant. Cette méthode, largement connue sous le nom d'EtherHiding, pose des défis majeurs pour les forces de l'ordre et les équipes de sécurité car les attaquants peuvent mettre à jour la configuration stockée sur la blockchain sans modifier le code malveillant sur chaque site Web compromis. Étant donné que les contrats intelligents sur les blockchains publiques sont répliqués sur un réseau décentralisé de nœuds, il n'y a pas d'hôte unique ni de bureau d'enregistrement que les autorités peuvent contraindre à supprimer les données — un avantage structurel pour les attaquants que les démantèlements traditionnels basés sur les domaines ou les adresses IP ne peuvent pas résoudre.

L'infrastructure intègre en outre le routage du trafic et un filtrage basé sur la géolocalisation, permettant aux opérateurs de déterminer de manière sélective quels visiteurs recevront le contenu malveillant. Cette architecture permet à différents affiliés de modifier les voies de distribution tout en conservant le même cadre d'ingénierie sociale sous-jacent.

La commande PowerShell de la dernière étape peut récupérer un exécutable 7-Zip portant un nom aléatoire à côté d'une charge utile tout aussi aléatoire, ou elle peut récupérer directement la charge utile malveillante. Par conception, c'est la victime qui initie l'étape d'exécution, réduisant ainsi la dépendance de l'attaquant aux exploitations logicielles traditionnelles.

Des familles de logiciels malveillants multiples amplifient la menace

La diversité des charges utiles distribuées par cette campagne augmente considérablement le niveau de risque. Vidar, par exemple, est capable de collecter les données du navigateur et du portefeuille de cryptomonnaies. Les chercheurs ont observé des variantes spécifiques de Vidar communiquant via Telegram, Steam et un site Web brésilien compromis.

Une autre variante de Vidar a été découverte créant des threads distants dans les processus de Google Chrome et de Microsoft Edge, une technique qui pourrait permettre aux attaquants d'extraire des informations sensibles gérées par ces navigateurs.

Okobot a également été identifié dans la campagne. Il a été distribué via une archive ZIP contenant un fichier nommé Volume2 et une DLL malveillante. Les enquêteurs ont déterminé qu'Okobot tente de dégrader les protections de Microsoft Defender et d'interférer avec les contrôles de sécurité entourant LSASS, le processus Windows responsable de la gestion des identifiants d'authentification.

Des composants supplémentaires comprenaient un package MSI malveillant déployant une porte dérobée Node.js qui communiquait via Tor pour les opérations de commande et de contrôle. Les chercheurs ont également documenté des variantes d'OnionDrop utilisant le chargement latéral de DLL (DLL side-loading) pour masquer l'activité malveillante derrière des applications légitimes.

D'autres chaînes d'infection ont été liées à LegionLoader et BabaDedaLoader, confirmant que l'infrastructure est conçue pour accueillir plusieurs familles de logiciels malveillants simultanément plutôt que de servir une seule menace. Le modèle de distribution simultanée reflète l'écosystème plus large des logiciels malveillants en tant que service, où les opérateurs louent l'infrastructure de distribution à plusieurs affiliés criminels qui apportent chacun leurs propres charges utiles.

Les équipes de sécurité sont invitées à surveiller l'ensemble de la chaîne d'attaque

Les défenseurs sont encouragés à donner la priorité au blocage des fausses invites de vérification pour empêcher qu'elles ne deviennent des vecteurs d'exécution, et à enquêter sur les activités PowerShell anormales, les tentatives d'injection de processus de navigateur et les téléchargements suspects suite à des visites sur des sites Web potentiellement compromis.

Les organisations peuvent également surveiller les sites WordPress qui définissent le cookie errtraffic_session et examiner les connexions réseau aux points de terminaison RPC de Polygon se produisant immédiatement après des visites sur des pages douteuses. Les fichiers DLL nouvellement créés et les téléchargements inattendus peuvent servir d'indicateurs de compromission supplémentaires.

Maintenir les installations, les plugins et les thèmes WordPress à jour, associé à la suppression des scripts injectés, peut réduire le nombre de sites Web disponibles pour l'exploitation.

Cette campagne souligne une tendance plus large de la cybercriminalité où les technologies légitimes sont détournées pour masquer des opérations malveillantes. L'infrastructure de la blockchain, les utilitaires intégrés de Windows, les processus de navigateur et les sites Web de confiance jouent chacun un rôle limité dans l'attaque, mais leur intégration rend l'opération globale considérablement plus difficile à détecter et à démanteler. À mesure que les techniques d'EtherHiding mûrissent, les défenseurs pourraient rencontrer des abus similaires s'étendant à d'autres réseaux compatibles EVM au-delà de Polygon, car l'approche sous-jacente consistant à stocker des données de configuration dans des contrats intelligents n'est pas spécifique à une chaîne.

Les experts en sécurité recommandent aux organisations de surveiller l'ensemble de la chaîne d'infection plutôt que de se concentrer sur des familles de logiciels malveillants individuelles, car cette approche offre une plus grande probabilité d'identifier les futures variantes d'ErrTraffic.

Source : CoinTrust