Una campagna ClickFix ha compromesso almeno 31 organizzazioni utilizzando la blockchain Polygon per aiutare il malware a individuare i propri server di comando e controllo, secondo una ricerca di GuidePoint Security riportata da Dark Reading il 1° settembre 2026. La tecnica, nota come EtherHiding, utilizza gli smart contract blockchain come una rubrica controllata dall’aggressore. I sistemi infetti possono recuperare un indirizzo server aggiornato senza richiedere una nuova versione del malware.

Il risultato riguarda l’uso dell’infrastruttura blockchain da parte degli aggressori, non una violazione segnalata del protocollo Polygon. Non significa inoltre che il malware sia impossibile da rilevare. Il punto più circoscritto di GuidePoint è che bloccare un singolo dominio o indirizzo IP di comando e controllo potrebbe non interrompere in modo permanente un aggressore in grado di pubblicare una destinazione sostitutiva che il malware può recuperare.

Siti web compromessi e prompt di verifica ingannevoli

Il Research and Intelligence Team di GuidePoint ha basato i propri risultati su analisi forensi della blockchain, prove raccolte durante la risposta agli incidenti e analisi del codice sorgente del malware. Tra le organizzazioni colpite figuravano aziende di e-commerce, servizi professionali e logistica al dettaglio. Il rapporto distingue tra un sito web aziendale compromesso e una persona che vi incontra contenuti dannosi. Di conseguenza, il dato di almeno 31 organizzazioni non deve essere interpretato come un conteggio dei computer infetti.

Jean-Pierre Mouton, senior threat intelligence consultant presso GuidePoint, ha affermato che gli aggressori inserivano JavaScript dannoso nei siti web aziendali compromessi. La campagna comprendeva anche attività di avvelenamento dei motori di ricerca. Quando un visitatore raggiungeva una pagina interessata, un meccanismo di filtraggio valutava il visitatore prima di mostrare un overlay ingannevole per la verifica dell’identità umana. L’overlay presentava l’esca ClickFix, convincendo il visitatore a eseguire un comando presentato come necessario per continuare.

L’aspetto familiare della schermata di verifica faceva parte dell’inganno. La sua somiglianza con un controllo di Cloudflare non dimostra che Cloudflare sia stata compromessa. In questa campagna, seguire l’esca eseguiva un dropper che contattava un server di staging. Secondo quanto riferito da Mouton, il server di staging installava quindi un agente di comando e controllo e un meccanismo di persistenza.

Polygon fornisce una destinazione di comando variabile

La backdoor installata interrogava Polygon per ottenere la destinazione corrente di comando e controllo. Mouton ha descritto la blockchain come una rubrica controllata dall’aggressore: l’indirizzo poteva cambiare mentre il malware presente sul computer infetto restava invariato. In questo modo, la destinazione del server veniva separata da un indirizzo fisso che i difensori avrebbero altrimenti potuto bloccare una sola volta.

Mouton ha affermato che l’aggressore poteva reindirizzare i computer infetti verso un nuovo server per frazioni di centesimo per transazione. La ricerca ha inoltre descritto una backdoor in grado di sopravvivere ai riavvii e di inviare un beacon al proprio controllore ogni minuto. Si tratta di caratteristiche riportate del malware analizzato dal team. Non indicano che ogni programma che utilizza Polygon si comporti in questo modo o che ogni connessione a Polygon sia dannosa.

Il team ha scoperto la connessione alla blockchain durante quella che inizialmente riteneva una normale indagine su una compromissione della posta elettronica aziendale. Uno script di persistenza ha contattato Polygon e le successive analisi e indagini hanno rivelato l’infrastruttura EtherHiding. Mouton ha dichiarato a Dark Reading che le precedenti attività EtherHiding avevano riguardato soprattutto Binance o Ethereum, rendendo l’uso degli smart contract di Polygon un elemento distintivo di questa campagna.

Valutazione dell’attore non identificato

Mouton ha valutato l’attore non identificato come probabilmente un broker dell’accesso iniziale. Si tratta di una valutazione e non dell’identificazione confermata dell’attore. La combinazione di un dropper, accesso persistente e una destinazione di comando variabile differisce dal modello ClickFix più familiare da lui descritto, nel quale un payload che sottrae informazioni dipende da un controllore che i difensori possono bloccare.

La fonte discute inoltre possibili modalità di compromissione dei siti web aziendali, tra cui lo sfruttamento su larga scala di una vulnerabilità di WordPress o di un altro meccanismo. Non identifica una specifica vulnerabilità di WordPress utilizzata in questi incidenti. I riferimenti a WooCommerce e Magento riguardano una campagna Magecart separata e non devono essere considerati un elenco di piattaforme coinvolte in questa indagine su ClickFix.

Le misure difensive restano valide prima e dopo l’infezione

Nel resoconto di Dark Reading sulla ricerca, Mouton ha raccomandato una formazione dei dipendenti incentrata specificamente su ClickFix e su altre tattiche di ingegneria sociale. L’inganno iniziale resta significativo anche se l’infrastruttura blockchain compare in una fase successiva dell’attacco. Riconoscere una pagina che chiede al visitatore di eseguire un presunto comando di verifica potrebbe interrompere l’attacco prima delle fasi successive.

Le sue raccomandazioni tecniche includevano la registrazione degli eventi di PowerShell con sistemi di allerta efficaci per gli script potenzialmente dannosi. Ha inoltre raccomandato di limitare l’accesso agli endpoint per le interrogazioni blockchain laddove le esigenze aziendali lo consentano. Questa precisazione è rilevante per le organizzazioni che utilizzano legittimamente servizi blockchain; la raccomandazione non costituisce un divieto incondizionato di tutto questo traffico.

Mouton ha affermato che bloccare gli specifici endpoint RPC incorporati nello script PowerShell di questo ceppo interromperebbe il percorso verso il controllore. Si tratta di una misura difensiva mirata, distinta dal blocco di un singolo indirizzo server sostituibile. La lezione riportata è che i difensori devono comprendere come il malware ottiene la propria destinazione, affrontando al contempo il prompt ingannevole e l’esecuzione dello script che precedono la comunicazione.

Fonte: Blocktelegraph.