Selon les chercheurs de la plateforme de sécurité Netskope, une vaste opération malveillante a été identifiée, touchant des milliers de sites de petites entreprises. Au cours des derniers mois, plus de 5 400 sites web, principalement conçus avec WordPress et PrestaShop, ont été piratés.
La méthode de compromission initiale reste inconnue, mais chaque site se voit injecter un script qui récupère une charge utile depuis un smart contract sur une blockchain.
Un mode opératoire EtherHiding et du ClickFix
Baptisé EtherHiding, le mode opératoire repose sur une chaîne d’infection bien rodée. Le script injecté sur le site compromis affiche une fausse fenêtre CAPTCHA et exploite une technique ClickFix. La victime est incitée à ouvrir une boîte de dialogue Exécuter sur Windows et à y coller une commande PowerShell.
L’exécution de la commande entraîne le téléchargement et le lancement de la charge utile finale sur la machine de la victime. L’avantage pour l’attaquant est que la charge utile, stockée dans le smart contract, peut être modifiée à tout moment, permettant de changer la nature de l’attaque pour tous les sites infectés.
Un hébergement de malware quasi permanent
L’utilisation de EtherHiding offre aux attaquants une infrastructure résiliente et difficile à démanteler.
En stockant le code malveillant dans des smart contracts sur la blockchain, ils créent un point de rendez-vous qu’aucun hébergeur ou registraire de domaine ne peut supprimer.
Les chercheurs de Netskope précisent que les attaquants ont choisi le BSC Testnet, le réseau de test de la BNB Smart Chain, dont l’utilisation est entièrement gratuite.
Une évolution récente et inquiétante de la menace
Une évolution de la campagne malveillante a été observée. La charge utile par ClickFix a été remplacée dans une variante plus récente par un canal de données WebRTC.
Cette nouvelle méthode établit un canal de communication chiffré avec le serveur de commande et de contrôle de l’attaquant pour exécuter du code à la volée, sans laisser d’artefacts réseau habituels. Le code malveillant est ensuite assemblé dans la mémoire du navigateur et exécuté dynamiquement.
Netskope évoque sa trouvaille dans un billet de blog et renvoie vers des indicateurs de compromission.