Eine umfangreiche Hacking-Kampagne wurde kürzlich aufgedeckt, die Tausende von Websites kompromittiert hat, um Malware über die Technologie Blockchain zu verbreiten. Forscher der Sicherheitsplattform Netskope identifizierten, dass über 5.400 Websites, hauptsächlich basierend auf WordPress und PrestaShop, infiltriert wurden, um bösartige Payloads zu verbreiten. Dieses Phänomen markiert eine besorgniserregende Entwicklung der Techniken, die von Cyberkriminellen eingesetzt werden, die jetzt Smart Contracts nutzen, um ihren Angriff flexibler und schwieriger abzuwehren.
Laut den alarmierenden Entdeckungen der Forscher hat die Hacking-Kampagne kleine Unternehmen auf der ganzen Welt betroffen. Obwohl die Methode der anfänglichen Kompromittierung unbekannt bleibt, wurde auf jeder betroffenen Seite ein bösartiges Skript eingefügt, das in der Lage ist, Payloads von einem Smart Contract auf einer Blockchain abzurufen. Diese innovative Methode ermöglicht es den Angreifern, ihren Angriff direkt zu verwalten und anzupassen, indem sie den auf der Blockchain gehosteten Code ändern.
Die Methode EtherHiding und ClickFix
Die von den Angreifern verwendete Methode, genannt EtherHiding, basiert auf einem sehr präzisen Infektionsschema. Sobald das Skript auf der kompromittierten Seite injiziert ist, zeigt es ein falsches CAPTCHA-Fenster an, das die Benutzer auffordert, einen „Ausführen“-Dialog auf ihren Windows-Systemen zu öffnen. Sie werden ermutigt, einen PowerShell-Befehl einzufügen, was zum Herunterladen und Ausführen der bösartigen Payload auf dem Gerät des Opfers führt. Dieses Vorgehen zeigt, wie sehr die Cyberkriminellen ihren Ansatz verfeinert haben, um potenziell anfällige Benutzer zu täuschen.
Speicherung von Malware in Smart Contracts
Einer der Hauptvorteile dieses Ansatzes für die Hacker ist die Fähigkeit, die in dem Smart Contract gehostete Payload kontinuierlich zu ändern. Dies ermöglicht es ihnen, die Art der Angriffe auf allen infizierten Websites zu ändern, wodurch ihnen eine Malware-Infrastruktur geboten wird, die de facto nahezu dauerhaft ist. Indem sie den bösartigen Code direkt auf einer Blockchain speichern, schaffen die Angreifer einen Treffpunkt, den weder Hosting-Anbieter noch Domain-Registrar leicht entfernen können. In diesem Fall haben die Cyberkriminellen das BSC Testnet, das Testnetz der BNB Smart Chain, ausgewählt, um ihre Operationen durchzuführen, angezogen von dessen kostenloser Nutzung.
Eine besorgniserregende und recente Entwicklung von Bedrohungen
Die Experten von Netskope haben auch eine Entwicklung in der Methode zur Übertragung von Malware beobachtet. In einer neueren Variante wurde die ursprünglich über ClickFix geladene Payload durch einen WebRTC-Datenkanal ersetzt. Diese neue Methode bietet eine verschlüsselte Kommunikation zwischen dem Angreifer und dem Command-and-Control-Server, die die dynamische Ausführung von Code ermöglicht, ohne die üblichen Netzwerk-Artefakte zu hinterlassen. Das bedeutet, dass der bösartige Code direkt im Speicher des Browsers zusammengefügt und zur Laufzeit ausgeführt werden kann, was die Erkennung umso schwieriger macht.
Für weitere Details zu den Bedrohungen im Zusammenhang mit Cyberangriffen unter Verwendung von Blockchain-Technologie können Sie die folgenden Artikel lesen: sichern Sie Ihr System gegen einen nordkoreanischen Cyberangriff und entdecken Sie die Banken-Malware TrickMo, die sich hinter der Blockchain versteckt.
