Une vaste campagne de piratage a récemment été révélée, compromettant des milliers de sites web pour propager des malwares via la technologie blockchain. Les chercheurs de la plateforme de sécurité Netskope ont identifié que plus de 5 400 sites, principalement basés sur WordPress et PrestaShop, ont été infiltrés pour diffuser des charges utiles malveillantes. Ce phénomène marque une évolution inquiétante des techniques employées par les cybercriminels, qui exploitent maintenant des smart contracts pour rendre leur attaque plus flexible et difficile à neutraliser.
Selon les découvertes alarmantes des chercheurs, la campagne de piratage a touché des petites entreprises dans le monde entier. Bien que la méthode de compromission initiale demeure inconnue, chaque site touché a vu l’insertion d’un script malveillant capable de récupérer des charges utiles depuis un smart contract sur une blockchain. Cette méthode innovante permet aux attaquants de gérer et d’adapter leur attaque directement en modifiant le code hébergé sur la blockchain.
La méthodologie EtherHiding et ClickFix
La méthode utilisée par les attaquants, dénommée EtherHiding, repose sur un schéma d’infection très précis. Une fois le script injecté sur le site compromis, celui-ci affiche une fausse fenêtre CAPTCHA, incitant les utilisateurs à ouvrir une boîte de dialogue « Exécuter » sur leurs systèmes Windows. Ils sont encouragés à y coller une commande PowerShell, ce qui entraîne le téléchargement et le lancement de la charge utile malveillante sur l’appareil de la victime. Ce stratagème montre à quel point les cybercriminels ont affiné leur approche pour tromper des utilisateurs potentiellement vulnérables.
Stockage des malwares dans des smart contracts
L’un des principaux avantages de cette approche pour les pirates est la capacité de modifier la charge utile hébergée dans le smart contract de manière continue. Cela leur permet de changer la nature des attaques sur tous les sites infectés, leur offrant ainsi une infrastructure de malware qui est, de fait, quasi permanente. En stockant le code malveillant directement sur une blockchain, les attaquants créent un point de rendez-vous que ni hébergeur ni registraire de domaine ne peuvent facilement supprimer. En l’occurrence, les cybercriminels ont sélectionné le BSC Testnet, le réseau de test de la BNB Smart Chain, pour effectuer leurs opérations, attirés par son utilisation gratuite.
Une évolution récente et préoccupante des menaces
Les experts de Netskope ont également observé une évolution dans la méthode de transmission des malwares. Dans une variante plus récente, la charge utile qui était initialement chargée via ClickFix a été remplacée par un canal de données WebRTC. Cette nouvelle méthode offre une communication chiffrée entre l’attaquant et le serveur de commande et de contrôle, permettant l’exécution dynamique de code sans laisser d’artefacts réseau habituels. Cela signifie que le code malveillant peut être assemblé directement en mémoire du navigateur et exécuté à la volée, rendant ainsi la détection encore plus difficile.
Pour plus de détails sur les menaces liées aux cyberattaques utilisant la technologie blockchain, vous pouvez consulter les articles suivants : sécuriser votre système face à une cyberattaque nord-coréenne et découvrir le malware bancaire TrickMo qui se cache derrière la blockchain.
