Uma vasta campanha de ciberataques está a utilizar mais de 5.400 sites de pequenas empresas para distribuir código malicioso armazenado em contratos inteligentes na rede BNB Smart Chain. Segundo dados avançados pela empresa de cibersegurança Netskope, a operação afeta sobretudo plataformas construídas em WordPress e PrestaShop, recorrendo à infraestrutura da blockchain para dificultar a remoção do conteúdo.
Embora o método de acesso inicial aos servidores continue por determinar, os atacantes injetam um script nas páginas vulneráveis. Este código estabelece ligação com o ponto de acesso de testes da BNB Smart Chain (BSC Testnet) para recolher o conteúdo malicioso. O método, conhecido na indústria como EtherHiding, tira partido da gratuitidade e da natureza imutável da blockchain para alojar configurações e scripts, garantindo que o sistema de distribuição permanece operacional mesmo que os domínios afetados tentem limpar a infeção.
A técnica EtherHiding e o esquema ClickFix
Na fase inicial da infeção, a tática observada assentava num engodo do tipo ClickFix. Ao aceder a uma página comprometida, o visitante deparava-se com um falso teste CAPTCHA acompanhado por instruções. A vítima era induzida a abrir a janela "Executar" do Windows e a colar um comando PowerShell, desencadeando o descarregamento e a execução do malware final no equipamento.
Uma das vantagens apontadas aos contratos inteligentes é a flexibilidade dada aos atacantes, que podem alterar o código alojado a qualquer momento sem modificar a estrutura existente nos sites infetados.
Evolução para canais encriptados via WebRTC
Em etapas mais recentes da campanha, os analistas detetaram uma alteração relevante no funcionamento do sistema. O payload original armazenado no contrato inteligente foi substituído por uma ferramenta baseada em canais de dados WebRTC, criando uma ligação encriptada e discreta diretamente para o servidor de controlo do atacante.
Para contornar controlos de rede normais, o script gera localmente os dados da sessão e simula a resposta de validação sem realizar a troca de mensagens convencional no navegador. Assim que a ligação é estabelecida, o servidor de comando envia código JavaScript que fica armazenado temporariamente na memória do programa. O código é executado ao fim de 10 segundos ou quando o canal é fechado, sendo inserido no ecossistema da página sem guardar qualquer ficheiro no disco rígido do utilizador.
Atividade em crescimento e recomendações de proteção
A escala da operação tem demonstrado um crescimento contínuo desde a primavera. Os dados de telemetria revelam que mais de 300 sites comprometidos comunicavam diariamente com a rede de testes da blockchain. Em agosto, a média diária aproximou-se dos 400 domínios ativos, tendo registado um pico de 536 plataformas em simultâneo.
Face à dimensão do problema, os peritos recomendam às equipas de segurança o bloqueio de todo o conjunto de pontos de acesso RPC associados à BSC Testnet no perímetro corporativo. É igualmente aconselhada a monitorização de tráfego UDP não web que possa estar associado à utilização indevida do protocolo WebRTC.
Nenhum comentário
Seja o primeiro!