Laut Forschern der Sicherheitsplattform Netskope wurde eine große bösartige Operation identifiziert, die Tausende von Websites kleiner Unternehmen betrifft. In den letzten Monaten mehr als 5.400 Websiteshauptsächlich mit WordPress und PrestaShop entwickelt, wurden gehackt.

Die ursprüngliche Kompromittierungsmethode bleibt unbekannt, aber jeder Site wird ein Skript injiziert, das eine Nutzlast aus einem Smart Contract auf einer Blockchain abruft.

Ein EtherHiding- und ClickFix-Betriebsmodus

Der als EtherHiding bezeichnete Betriebsmodus basiert auf einer gut etablierten Infektionskette. Das auf der kompromittierten Website eingefügte Skript zeigt ein gefälschtes CAPTCHA-Fenster an und verwendet eine ClickFix-Technik. Das Opfer wird dazu verleitet, unter Windows ein Dialogfeld „Ausführen“ zu öffnen und dort einen PowerShell-Befehl einzufügen.

Durch die Ausführung des Befehls wird die endgültige Nutzlast heruntergeladen und auf dem Computer des Opfers gestartet. Der Vorteil für den Angreifer besteht darin, dass die im Smart Contract gespeicherte Nutzlast jederzeit geändert werden kann, wodurch es möglich ist, die Art des Angriffs für alle infizierten Websites zu ändern.

Fast permanentes Malware-Hosting

Die Verwendung von EtherHiding bietet Angreifern eine belastbare Infrastruktur und schwer zu demontieren.

Indem sie den Schadcode in Smart Contracts auf der Blockchain speichern, schaffen sie einen Treffpunkt, den kein Host oder Domain-Registrar entfernen kann.

Die Forscher von Netskope geben an, dass die Angreifer das BSC Testnet gewählt haben, das BNB Smart Chain-Testnetzwerk, dessen Nutzung völlig kostenlos ist.

Eine aktuelle und besorgniserregende Entwicklung der Bedrohung

Es wurde eine Weiterentwicklung der böswilligen Kampagne beobachtet. Payload von ClickFix wurde in einer neueren Variante durch einen WebRTC-Datenkanal ersetzt.

Diese neue Methode stellt einen verschlüsselten Kommunikationskanal mit dem Befehls- und Kontrollserver des Angreifers her, um Code im Handumdrehen auszuführen, ohne typische Netzwerkartefakte zu hinterlassen. Anschließend wird der Schadcode im Speicher des Browsers zusammengestellt und dynamisch ausgeführt.

Netskope diskutiert seine Entdeckung in einem Blogbeitrag und verweist auf Anzeichen einer Kompromittierung.