Масштабная вредоносная кампания задействует тысячи взломанных веб-сайтов малых предприятий для распространения вредоносных ПО ClickFix, хранящихся в смарт-контрактах на блокчейне BNB Smart Chain (BSC). За последние несколько месяцев исследователи выявили более 5400 взломанных веб-сайтов, большинство из которых были созданы на платформах WordPress и PrestaShop. Первоначальный метод взлома остается неизвестным, но на каждый сайт был внедрен скрипт, который получает полезную нагрузку следующего этапа из смарт-контракта на конечной точке тестовой сети BSC — метод, известный как EtherHiding. Исследователи Netskope отметили, что тестовая сеть BSC Testnet предназначена для разработчиков и функционирует аналогично основной сети, производственному блокчейну, но доступна бесплатно. Злоумышленники используют технику EtherHiding для хранения вредоносного кода или данных конфигурации в смарт-контрактах блокчейна, создавая таким образом отказоустойчивую инфраструктуру, которую сложно вывести из строя. В цепочке доставки, отслеживаемой Netskope, скрипт отображает приманку ClickFix, которая показывает поддельную CAPTCHA и предлагает посетителям открыть диалоговое окно «Выполнить» в Windows и вставить команду PowerShell. В результате загружается и выполняется окончательная полезная нагрузка на машине. Поскольку злоумышленник хранит полезную нагрузку в смарт-контракте, он может изменить ее в любое время. Исследователи отмечают, что на более позднем этапе кампании злоумышленник заменил полезную нагрузку ClickFix в смарт-контракте на загрузчик канала передачи данных WebRTC. В более новом варианте полезная нагрузка устанавливает скрытый зашифрованный канал связи со злоумышленником и выполняет полученный код. Скрипт создает одноранговое соединение и канал передачи данных, а затем генерирует необходимое предложение описания сессии, как при обычном рукопожатии WebRTC. Но вместо того, чтобы отправлять это предложение куда-либо и ждать реального ответа, система сама пишет ответ и передает его обратно в канал связи. Таким образом, никакого рукопожатия не происходит, но канал передачи данных киберпреступнику все равно открывается. Устройство подготовки получает код JavaScript с жестко заданного адреса C2, буферизует его и выполняет при закрытии канала или через десять секунд. Полученный код собирается в памяти браузера и выполняется динамически без сохранения на диск путем добавления его в заголовок DOM-дерева. Netskope предупреждает, что в ходе операции ежедневно используется более 300 зараженных веб-сайтов. С весны количество скомпрометированных сайтов, обращающихся к RPC-терминалам тестовой сети BSC, постоянно растет. Данные телеметрии показывают, что в августе к конечной точке ежедневно обращались около 400 сайтов, а абсолютный пик составил 536 обращений. Специалисты рекомендуют заблокировать весь пул RPC-терминалов тестовой сети BSC, представленный здесь, и отслеживать UDP-трафик, не связанный с веб-трафиком, но использующий WebRTC.