セキュリティ研究者の報告によると、大規模なサイバー犯罪グループが、何千もの侵害された中小企業向けウェブサイトを悪用し、BNBスマートチェーン（BSC）のスマートコントラクト内に隠された悪意あるClickFixペイロードを配信しています。

過去数か月間で、研究者はこのキャンペーンに関与した5,400を超える侵害されたウェブサイトを特定しました。被害サイトの多くは、中小企業向けサイトで広く利用されているWordPressとPrestaShopで構築されていました。WordPressはウェブ全体の相当なシェアを占めており、両プラットフォームはこれまでも、古いプラグイン、脆弱な認証情報、未修正のインストールを悪用する攻撃者の標的となってきた歴史があります。攻撃者がこれらのサイトに当初どのようにアクセスを得たのかは依然として不明です。

サイトが侵害されると、攻撃者は、BSCテストネットのリモートプロシージャコールエンドポイント経由でスマートコントラクトから追加の悪意あるコンテンツを取得するスクリプトを注入します。この手法はEtherHidingとして知られ、脅威アクターがブロックチェーンインフラを利用して悪意あるコードや設定データを隠蔽するものです。EtherHidingは2024年に研究者によって初めて公に文書化され、ここでのBSCインフラへの再利用は、この手法がさまざまなチェーンにわたって存続し適応してきたことを示しています。

攻撃者によるブロックチェーンインフラの悪用

BSCテストネットは、主に本番のブロックチェーンへデプロイする前にアプリケーションをテストする開発者向けを想定したものです。本番トランザクションに伴うコストなしにメインネットとほぼ同様に動作するため、攻撃者にとって悪意あるコンテンツを配信する便利なインフラを提供します。ブロックチェーンのデータは多くのノードに複製され、一方的に削除することが困難であるため、従来のホスティングプロバイダに対して有効な摘発策も、コントラクトに保存されたペイロードに対しては実行がはるかに難しくなります。

悪意あるペイロードをスマートコントラクト内に保存することで、攻撃者は、コンテンツを従来のウェブホスティングだけに依存せず分散型ブロックチェーンシステム経由で取得できるため、妨害が困難なインフラ層を獲得しています。

キャンペーンの初期段階では、侵害されたウェブサイトがClickFixのソーシャルエンジニアリングの罠を表示していました。訪問者にはCAPTCHA認証ページに見えるものが表示され、通常の認証プロセスを完了する代わりに、Windowsの「ファイル名を指定して実行」ダイアログを開き、PowerShellコマンドを貼り付けるよう指示されました。訪問者がその指示に従った場合、そのコマンドは最終的な悪意あるペイロードをコンピュータにダウンロードして実行しました。ClickFix型の罠——偽の認証や更新プロンプトでユーザー自身にコマンドを貼り付けさせる手口——は、被害者が直接アクションを実行することでブラウザベースの保護の多くを回避できるため、過去1年で広く報告されるソーシャルエンジニアリング手法となっています。

攻撃者はスマートコントラクトに保存されたコンテンツを制御できたため、すべての侵害されたウェブサイトを修正することなくペイロードを更新できました。研究者はその後、配信メカニズムの重大な変化を観測しました。脅威アクターは、スマートコントラクトに保存されたClickFixペイロードをWebRTCベースのステージャーに置き換え、攻撃者との通信を確立する新しい手法を導入したのです。

WebRTCを用いた隠密なコード配信

新しい亜種は、ピア接続とWebRTCデータチャネルを作成します。研究者が発見したところによると、このスクリプトは正当なWebRTC接続プロセスに似たセッション記述オファーを生成しますが、実際のリモートピアと通信するのではなく、対応する応答を自分自身で構築します。この手法により、悪意あるスクリプトは従来のWebRTCハンドシェイクを完了せずにデータチャネルを確立でき、その結果得られたチャネルは攻撃者との隠密な通信経路として使用されます。WebRTCは通常、ビデオ通話やピアツーピアのファイル転送に使用される標準的なブラウザ技術であり、悪意あるトラフィックが正当なウェブ活動に紛れ込むのに役立っています。

ステージャーには、JavaScriptコードを受信するためのハードコードされたコマンドアンドコントロールアドレスが含まれています。受信したコードはメモリにバッファリングされ、通信チャネルが閉じた後、または10秒間隔の後に実行されます。受信したJavaScriptはブラウザのメモリ内で直接組み立てられ、ドキュメントオブジェクトモデルを通じて動的に実行されるため、ディスクに書き込まれることなくコードが実行されます。

このアプローチは、悪意あるコードが必ずしも被害者のシステム上の従来のファイルとして現れないため、従来のエンドポイント検出をより困難にする可能性があります。また、攻撃者に訪問者へ配信するコードを変更する柔軟性も与えます。

1日に300を超えるウェブサイトが稼働中

Netskopeのテレメトリーは、このキャンペーンが大規模な規模で引き続き活動していることを示しています。研究者によると、1日300を超える感染したウェブサイトがこの作戦に関与しており、BSCテストネットのリモートプロシージャコールエンドポイントと通信する侵害されたサイトの数は春以降増加し続けています。8月には、テレメトリーにより1日あたり約400のウェブサイトが関連するエンドポイントに接触していることが示され、キャンペーンは1日あたり536ウェブサイトという過去最高のピークに達しました。

これらの発見は、ブロックチェーンインフラがマルウェア配信ネットワークの一部として転用されうることを浮き彫りにしています。攻撃者は、従来のコマンドアンドコントロールサーバーやコンテンツホスティングサービスだけに依存するのではなく、侵害されたウェブサイト、スマートコントラクト、ブラウザベースの通信メカニズムを組み合わせています。中小企業のサイト運営者にとって、このキャンペーンは、管理されていないCMSインストールを運用することの運用リスクも強調しています。侵害されたサイトは、自分の訪問者に無言のうちに悪意あるコンテンツを提供しうるからです。

Netskopeは、防御者がこのキャンペーンに関連するBSCテストネットのリモートプロシージャコールエンドポイントのプールをブロックすることを推奨しています。また、セキュリティチームに対しては、WebRTCに関連する非ウェブUDPトラフィックのネットワークアクティビティを監視し、新しい配信メカニズムに参加しているシステムの特定に役立てるよう助言しています。

出典：CoinTrust