I ricercatori di cybersecurity hanno individuato un'operazione malware che sfrutta la blockchain Polygon per nascondere componenti critici della propria infrastruttura di distribuzione, complicando significativamente le operazioni di smantellamento.

La campagna, designata come ErrTraffic, colpisce i siti web WordPress e li ripropone come punti di distribuzione per pagine di verifica contraffatte. WordPress alimenta circa il 40% di tutti i siti web a livello globale, rendendolo una superficie particolarmente attraente per compromissioni di questa natura. I visitatori dei siti compromessi incontrano prompt progettati per assomigliare a legittimi controlli del browser o verifiche CAPTCHA, e vengono ingannati socialmente fino a eseguire manualmente comandi Windows. Questo approccio, definito ClickFix, si basa sulla manipolazione del comportamento dell'utente anziché sullo sfruttamento di vulnerabilità software.

Una volta che una vittima segue le istruzioni ed esegue il comando, il malware viene scaricato sul suo sistema. Le conseguenze variano a seconda del payload ma possono includere il furto di dati del browser, credenziali memorizzate, cookie di sessione e informazioni del wallet di criptovalute.

I ricercatori di WatchGuard hanno rilevato l'attività attraverso dati di telemetria e l'hanno attribuita a un'operazione malware-as-a-service ErrTraffic pubblicizzata sui forum da un utente che operava sotto lo pseudonimo LenAI. È stato accertato che l'infrastruttura distribuiva molteplici famiglie di malware, tra cui Vidar, Okobot, LegionLoader, payload correlati a OnionDrop e BabaDedaLoader.

Gli smart contract Polygon utilizzati per mascherare l'infrastruttura

La catena di attacco inizia quando un utente visita un sito WordPress infetto. Il JavaScript maligno incorporato nella pagina nasconde il vero endpoint dell'attaccante, comunicando invece con la rete Polygon tramite servizi di remote procedure call (RPC) per recuperare i dati di configurazione memorizzati all'interno di uno smart contract.

I dati memorizzati indirizzano l'attacco verso l'infrastruttura corrente dell'attaccante. Questo metodo, ampiamente noto come EtherHiding, pone sfide significative per le forze dell'ordine e i team di sicurezza perché gli attaccanti possono aggiornare la configurazione memorizzata sulla blockchain senza modificare il codice maligno su ogni sito web compromesso. Poiché gli smart contract sulle blockchain pubbliche sono replicati attraverso una rete decentralizzata di nodi, non esiste un singolo host o registrar che le autorità possano obbligare a rimuovere i dati — un vantaggio strutturale per gli attaccanti che i tradizionali smantellamenti basati su dominio o IP non riescono a contrastare.

L'infrastruttura incorpora inoltre funzionalità di instradamento del traffico e filtraggio basato sulla geolocalizzazione, consentendo agli operatori di determinare selettivamente quali visitatori ricevano contenuti maligni. Questa architettura permette a diversi affiliati di modificare i percorsi di distribuzione mantenendo la stessa struttura fondamentale di ingegneria sociale.

Il comando PowerShell della fase finale può recuperare un eseguibile 7-Zip con nome casuale insieme a un payload similmente randomizzato, oppure può recuperare direttamente il payload maligno. Per progettazione, è la vittima ad avviare la fase di esecuzione, riducendo la dipendenza dell'attaccante dai tradizionali exploit software.

Molteplici famiglie di malware amplificano la minaccia

La diversità dei payload distribuiti attraverso questa campagna aumenta sostanzialmente il profilo di rischio. Vidar, ad esempio, è in grado di raccogliere dati del browser e del wallet di criptovalute. I ricercatori hanno osservato specifiche varianti di Vidar comunicare tramite Telegram, Steam e un sito web brasiliano compromesso.

Una variante separata di Vidar è stata rilevata durante la creazione di thread remoti all'interno dei processi di Google Chrome e Microsoft Edge, una tecnica che potrebbe consentire agli attaccanti di estrarre informazioni sensibili gestite da tali browser.

Okobot è stato identificato anch'esso all'interno della campagna. È stato distribuito tramite un archivio ZIP contenente un file denominato Volume2 e una DLL maligna. Gli investigatori hanno accertato che Okobot tenta di indebolire le protezioni di Microsoft Defender e di interferire con i controlli di sicurezza relativi a LSASS, il processo di Windows responsabile della gestione delle credenziali di autenticazione.

Ulteriori componenti includevano un pacchetto MSI maligno che distribuiva una backdoor Node.js comunicante tramite Tor per operazioni di command-and-control. I ricercatori hanno inoltre documentato varianti di OnionDrop che impiegano la tecnica DLL side-loading per mascherare l'attività maligna dietro applicazioni legittime.

Ulteriori catene di infezione sono state collegate a LegionLoader e BabaDedaLoader, confermando che l'infrastruttura è progettata per ospitare concorrentemente molteplici famiglie di malware anziché servire una singola minaccia. Il modello di distribuzione concorrente riflette il più ampio ecosistema malware-as-a-service, in cui gli operatori affittano l'infrastruttura di distribuzione a molteplici affiliati criminali, ciascuno dei quali porta i propri payload.

I team di sicurezza sono invitati a monitorare l'intera catena di attacco

I difensori sono incoraggiati a dare priorità al blocco dei falsi prompt di verifica affinché non diventino vettori di esecuzione e a indagare su attività PowerShell anomale, tentativi di injection nei processi del browser e download sospetti a seguito di visite a siti web potenzialmente compromessi.

Le organizzazioni possono inoltre monitorare i siti WordPress che impostano il cookie errtraffic_session ed esaminare le connessioni di rete agli endpoint RPC Polygon che si verificano immediatamente dopo visite a pagine dubbie. I file DLL appena creati e i download imprevisti possono servire come ulteriori indicatori di compromissione.

Il mantenimento di installazioni WordPress, plugin e temi aggiornati, combinato con la rimozione degli script iniettati, può ridurre il bacino di siti web disponibili per lo sfruttamento.

La campagna sottolinea una tendenza più ampia nella cybercriminalità in cui tecnologie legittime vengono riproposte per nascondere operazioni maligne. L'infrastruttura blockchain, le utilità integrate di Windows, i processi del browser e i siti web attendibili svolgono ciascuno un ruolo limitato all'interno dell'attacco, eppure la loro integrazione rende l'operazione complessiva considerevolmente più difficile da rilevare e smantellare. Man mano che le tecniche EtherHiding maturano, i difensori potrebbero incontrare abusi simili in espansione verso altre reti compatibili con EVM oltre a Polygon, poiché l'approccio sottostante di memorizzazione dei dati di configurazione negli smart contract non è specifico di una singola chain.

Gli esperti di sicurezza raccomandano alle organizzazioni di monitorare l'intera catena di infezione anziché concentrarsi su singole famiglie di malware, poiché questo approccio offre una maggiore probabilità di identificare future varianti della campagna ErrTraffic.

Fonte: CoinTrust