Een ClickFix-campagne heeft minstens 31 organisaties gecompromitteerd en daarbij de Polygon-blockchain gebruikt om malware te helpen bij het vinden van zijn command-and-controlservers, volgens onderzoek van GuidePoint Security waarover Dark Reading op 1 september 2026 berichtte. De techniek, bekend als EtherHiding, gebruikt blockchain-smart contracts als een door de aanvaller beheerd adresboek. Geïnfecteerde systemen kunnen een bijgewerkt serveradres ophalen zonder dat daarvoor een nieuwe malwareversie nodig is.

De bevinding heeft betrekking op het gebruik van blockchaininfrastructuur door aanvallers en niet op een gemelde inbreuk op het Polygon-protocol. Dit betekent ook niet dat de malware ondetecteerbaar is. Het beperktere punt van GuidePoint is dat het blokkeren van één command-and-controldomein of IP-adres een aanvaller mogelijk niet permanent hindert wanneer die een vervangende bestemming kan publiceren die de malware vervolgens ophaalt.

Gecompromitteerde websites en misleidende verificatieprompts

Het Research and Intelligence Team van GuidePoint baseerde zijn bevindingen op blockchainforensisch onderzoek, bewijsmateriaal uit incidentrespons en analyse van malwarebronnen. De getroffen organisaties omvatten bedrijven in e-commerce, zakelijke dienstverlening en retail-logistiek. Het rapport maakt onderscheid tussen een gecompromitteerde bedrijfswebsite en een persoon die daar kwaadaardige inhoud tegenkomt. Het aantal van minstens 31 organisaties moet daarom niet worden geïnterpreteerd als het aantal geïnfecteerde computers.

Jean-Pierre Mouton, senior threat-intelligenceconsultant bij GuidePoint, zei dat aanvallers kwaadaardige JavaScript in gecompromitteerde bedrijfswebsites hadden ingebed. Manipulatie van zoekresultaten maakte eveneens deel uit van de campagne. Wanneer een bezoeker een getroffen pagina bereikte, beoordeelde een toegangsmechanisme de bezoeker voordat een misleidende overlay voor menselijke verificatie werd weergegeven. De overlay vormde de ClickFix-lokmethode en overtuigde de bezoeker ervan een opdracht uit te voeren die als vereiste om door te gaan werd gepresenteerd.

De vertrouwde uitstraling van het verificatiescherm maakte deel uit van de misleiding. De gelijkenis met een Cloudflare-controle vormt geen bewijs dat Cloudflare zelf was gecompromitteerd. In deze campagne leidde het volgen van de lokmethode tot de uitvoering van een dropper die contact maakte met een stagingserver. Volgens Moutons verslag installeerde de stagingserver vervolgens een command-and-controlagent en een mechanisme voor persistentie.

Polygon levert een veranderende commandobestemming

De geïnstalleerde backdoor bevroeg Polygon om de actuele command-and-controlbestemming op te halen. Mouton beschreef de blockchain als een door de aanvaller beheerd adresboek: het adres kon veranderen terwijl de malware op de geïnfecteerde machine ongewijzigd bleef. Daardoor werd de serverbestemming losgekoppeld van een vast adres dat verdedigers anders eenmalig zouden kunnen blokkeren.

Mouton zei dat de aanvaller geïnfecteerde machines voor fracties van een cent per transactie naar een nieuwe server kon omleiden. Het onderzoek beschreef ook een backdoor die herstarts overleefde en elke minuut een beacon naar zijn controller stuurde. Dit zijn gemelde kenmerken van de door het team onderzochte malware. Ze betekenen niet dat elk programma dat Polygon gebruikt zich op deze manier gedraagt of dat elke Polygon-verbinding kwaadaardig is.

Het team ontdekte de blockchainverbinding tijdens een onderzoek dat aanvankelijk een standaardonderzoek naar zakelijke e-mailcompromittering leek. Een persistentiescript nam contact op met Polygon, waarna verdere analyse en onderzoek de EtherHiding-infrastructuur aan het licht brachten. Mouton vertelde Dark Reading dat eerdere EtherHiding-activiteiten voornamelijk Binance of Ethereum hadden gebruikt, waardoor het gebruik van Polygon-smart contracts een onderscheidend kenmerk van deze campagne vormt.

Beoordeling van de onbekende aanvaller

Mouton beoordeelde de onbekende actor als waarschijnlijk een broker voor initiële toegang. Die beoordeling stelt de identiteit van de actor niet vast. De combinatie van een dropper, persistente toegang en een veranderende commandobestemming wijkt af van het bekendere ClickFix-patroon dat hij beschreef, waarbij een payload voor het stelen van informatie afhankelijk is van een controller die verdedigers kunnen blokkeren.

De bron bespreekt ook mogelijke methoden om bedrijfswebsites te compromitteren, waaronder grootschalige exploitatie van een WordPress-kwetsbaarheid of een ander mechanisme. Er wordt geen specifieke WordPress-kwetsbaarheid genoemd die bij deze incidenten is gebruikt. Verwijzingen naar WooCommerce en Magento hebben betrekking op een afzonderlijke Magecart-campagne en mogen niet worden beschouwd als een lijst van platforms voor dit ClickFix-onderzoek.

Verdedigingsmaatregelen vóór en na infectie

In het verslag van Dark Reading over het onderzoek adviseerde Mouton werknemers te trainen in ClickFix en andere vormen van social engineering. De aanvankelijke misleiding blijft belangrijk, ook al verschijnt blockchaininfrastructuur pas later in de aanval. Het herkennen van een pagina die een bezoeker vraagt een vermeende verificatieopdracht uit te voeren, kan de aanval vóór de volgende stappen onderbreken.

Zijn technische aanbevelingen omvatten PowerShell-logging met effectieve waarschuwingen voor mogelijk kwaadaardige scripts. Ook adviseerde hij de toegang tot endpoints voor blockchainbevragingen te beperken waar de bedrijfsvereisten dat toestaan. Die beperking is relevant voor organisaties die legitiem blockchainservices gebruiken; de aanbeveling houdt geen onvoorwaardelijk verbod op al dergelijk verkeer in.

Mouton zei dat het blokkeren van de specifieke RPC-endpoints die in het PowerShell-script van deze variant waren hardgecodeerd, de route naar de controller zou verbreken. Dat is een gerichte verdedigingsmaatregel, in tegenstelling tot het blokkeren van één vervangbaar serveradres. De gemelde les is dat verdedigers moeten begrijpen hoe malware zijn bestemming verkrijgt en tegelijkertijd de misleidende prompt en scriptuitvoering moeten aanpakken die aan die communicatie voorafgaan.

Bron: Blocktelegraph.