Una vasta operazione criminale informatica sta sfruttando migliaia di siti web di piccole imprese compromessi per distribuire payload ClickFix malevoli nascosti all'interno di smart contract sulla BNB Smart Chain (BSC), hanno riferito ricercatori di sicurezza.

Negli ultimi mesi, i ricercatori hanno identificato oltre 5.400 siti web compromessi coinvolti nella campagna. La maggior parte dei siti colpiti era basata su WordPress e PrestaShop, due piattaforme ampiamente utilizzate per i siti web delle piccole imprese; WordPress da solo alimenta una quota considerevole del web, e entrambe le piattaforme sono storicamente state prese di mira da attaccanti che sfruttano plugin obsoleti, credenziali deboli e installazioni non aggiornate. Come gli attaccanti abbiano inizialmente ottenuto l'accesso a questi siti resta poco chiaro.

Una volta compromesso un sito, gli attaccanti iniettano uno script che recupera contenuti malevoli aggiuntivi da uno smart contract tramite un endpoint di chiamata di procedura remota (RPC) della Testnet BSC. Questa tecnica è nota come EtherHiding, in cui gli attori di minacce utilizzano l'infrastruttura blockchain per nascondere codice malevolo o dati di configurazione. EtherHiding è stato documentato pubblicamente per la prima volta dai ricercatori nel 2024, e il suo riutilizzo qui contro l'infrastruttura BSC illustra come l'approccio sia persistito e adattatosi su diverse catene.

Gli attaccanti sfruttano l'infrastruttura blockchain

La Testnet BSC è destinata principalmente agli sviluppatori che testano applicazioni prima di distribuirle sulla blockchain di produzione. Poiché funziona in modo molto simile alla mainnet evitando però i costi associati alle transazioni di produzione, offre agli attaccanti un'infrastruttura comoda per distribuire contenuti malevoli. Dato che i dati sulla blockchain sono replicati su molti nodi e sono difficili da eliminare unilateralmente, le operazioni di takedown che funzionano contro i provider di hosting tradizionali sono molto più difficili da eseguire contro payload memorizzati in contratti.

Memorizzando i payload malevoli all'interno di smart contract, gli attaccanti ottengono un livello di infrastruttura difficile da interrompere, poiché i contenuti possono essere recuperati tramite sistemi blockchain decentralizzati anziché dipendere interamente dall'hosting web convenzionale.

Inizialmente la campagna utilizzava i siti web compromessi per mostrare un'esca di social engineering ClickFix. Ai visitatori veniva mostrata quella che sembrava una pagina di verifica CAPTCHA. Invece di completare un normale processo di verifica, gli utenti erano invitati ad aprire la finestra di dialogo Esegui di Windows e incollare un comando PowerShell. Se un visitatore seguiva queste istruzioni, il comando scaricava ed eseguiva il payload malevolo finale sul proprio computer. Le esche in stile ClickFix — falsi prompt di verifica o aggiornamento che inducono gli utenti a incollare autonomamente comandi — sono diventate negli ultimi dodici mesi una tecnica di social engineering ampiamente segnalata, anche perché la vittima esegue l'azione direttamente, aggirando molte protezioni basate sul browser.

Poiché gli attaccanti controllavano i contenuti memorizzati nello smart contract, potevano aggiornare il payload senza modificare ogni singolo sito compromesso. I ricercatori hanno in seguito osservato un cambiamento significativo nel meccanismo di consegna: l'attore di minaccia ha sostituito il payload ClickFix memorizzato nello smart contract con uno stager basato su WebRTC, introducendo un nuovo metodo per stabilire la comunicazione con l'attaccante.

WebRTC utilizzato per la consegna occulta di codice

La nuova variante crea una peer connection e un data channel WebRTC. I ricercatori hanno scoperto che lo script genera un'offerta di session description simile a un normale processo di connessione WebRTC, ma costruisce poi da solo la risposta corrispondente invece di comunicare con un vero peer remoto. Questa tecnica consente allo script malevolo di stabilire un data channel senza completare un handshake WebRTC convenzionale, e il canale risultante funge da percorso di comunicazione occulto con l'attaccante. WebRTC è una tecnologia browser standard normalmente utilizzata per videochiamate e trasferimento di file peer-to-peer, il che aiuta il traffico malevolo a confondersi con l'attività web legittima.

Lo stager contiene un indirizzo di comando e controllo hardcoded da cui riceve codice JavaScript. Il codice in arrivo viene memorizzato in buffer nella memoria ed eseguito dopo la chiusura del canale di comunicazione o dopo un intervallo di 10 secondi. Il JavaScript ricevuto viene assemblato direttamente nella memoria del browser ed eseguito dinamicamente tramite il document object model, consentendo al codice di essere eseguito senza mai essere scritto su disco.

Questo approccio può rendere più difficile il rilevamento tradizionale degli endpoint, poiché il codice malevolo non necessariamente appare come un file convenzionale sul sistema della vittima. Offre inoltre agli attaccanti la flessibilità di modificare il codice consegnato ai visitatori.

Oltre 300 siti web attivi ogni giorno

La telemetria di Netskope indica che la campagna resta attiva su larga scala. I ricercatori hanno riferito che oltre 300 siti web infetti sono coinvolti quotidianamente nell'operazione, mentre il numero di siti compromessi che comunicano con endpoint RPC della Testnet BSC è continuato ad aumentare dalla primavera. Ad agosto, la telemetria ha mostrato quasi 400 siti web al giorno in contatto con gli endpoint interessati, e la campagna ha raggiunto un picco giornaliero storico di 536 siti.

I risultati evidenziano come l'infrastruttura blockchain possa essere riconvertita come parte di una rete di distribuzione di malware. Invece di affidarsi unicamente a server di comando e controllo convenzionali o a servizi di hosting di contenuti, gli attaccanti stanno combinando siti web compromessi, smart contract e meccanismi di comunicazione basati sul browser. Per i proprietari di siti di piccole imprese, la campagna sottolinea inoltre il rischio operativo legato alla gestione di installazioni CMS non mantenute, poiché i siti compromessi possono servire silenziosamente contenuti malevoli ai propri visitatori.

Netskope raccomanda ai difensori di bloccare il pool di endpoint RPC della Testnet BSC associati alla campagna. Ai team di sicurezza si consiglia inoltre di monitorare l'attività di rete per individuare traffico UDP non web legato a WebRTC, il che potrebbe aiutare a identificare i sistemi che partecipano al nuovo meccanismo di consegna.

Fonte: CoinTrust