Una vasta campagna di hacking è stata recentemente rivelata, compromettendo migliaia di siti web per propagare malware tramite la tecnologia blockchain. I ricercatori della piattaforma di sicurezza Netskope hanno identificato che oltre 5.400 siti, principalmente basati su WordPress e PrestaShop, sono stati infiltrati per diffondere payload malevoli. Questo fenomeno segna un’evoluzione preoccupante delle tecniche impiegate dai criminali informatici, che ora sfruttano smart contracts per rendere il loro attacco più flessibile e difficile da neutralizzare.
Secondo le scoperte allarmanti dei ricercatori, la campagna di hacking ha colpito piccole imprese in tutto il mondo. Anche se il metodo di compromissione iniziale rimane sconosciuto, ogni sito colpito ha visto l’inserimento di un script malevolo in grado di recuperare payload da uno smart contract su una blockchain. Questo metodo innovativo consente agli attaccanti di gestire e adattare il loro attacco semplicemente modificando il codice ospitato sulla blockchain.
La metodologia EtherHiding e ClickFix
Il metodo utilizzato dagli attaccanti, denominato EtherHiding, si basa su uno schema di infezione molto preciso. Una volta iniettato lo script sul sito compromesso, questo mostra una falsa finestra CAPTCHA, incitando gli utenti ad aprire una finestra di dialogo “Esegui” sui loro sistemi Windows. Vengono incoraggiati a incollare un comando PowerShell, il che comporta il download e l’avvio del payload malevolo sul dispositivo della vittima. Questo stratagemma dimostra quanto i criminali informatici abbiano affinato il loro approccio per ingannare utenti potenzialmente vulnerabili.
Archiviazione dei malware negli smart contracts
Uno dei principali vantaggi di questo approccio per gli hacker è la possibilità di modificare continuamente il payload ospitato nello smart contract. Questo consente loro di cambiare la natura degli attacchi su tutti i siti infetti, offrendo così un’infrastruttura di malware che è, di fatto, quasi permanente. Memorizzando il codice malevolo direttamente su una blockchain, gli attaccanti creano un punto di incontro che né l’hosting né il registrar di dominio possono facilmente rimuovere. In questo caso, i criminali informatici hanno selezionato il BSC Testnet, la rete di test della BNB Smart Chain, per effettuare le loro operazioni, attratti dalla sua gratuità.
Un’evoluzione recente e preoccupante delle minacce
Gli esperti di Netskope hanno inoltre osservato un’evoluzione nel metodo di trasmissione dei malware. In una variante più recente, il payload che era inizialmente caricato tramite ClickFix è stato sostituito da un canale di dati WebRTC. Questo nuovo metodo offre una comunicazione crittografata tra l’attaccante e il server di comando e controllo, consentendo l’esecuzione dinamica di codice senza lasciare artefatti di rete abituali. Ciò significa che il codice malevolo può essere assemblato direttamente in memoria del browser e eseguito al volo, rendendo così la rilevazione ancora più difficile.
Per ulteriori dettagli sulle minacce legate agli attacchi informatici che utilizzano la tecnologia blockchain, puoi consultare i seguenti articoli: mettere in sicurezza il tuo sistema contro un attacco informatico nordcoreano e scoprire il malware bancario TrickMo nascosto dietro la blockchain.
