超 5,400 个被黑网站提供存储在区块链上的 ClickFix 载荷

一场大规模网络犯罪活动正在利用数千个被入侵的小型企业网站，投递存储在 BNB Smart Chain (BSC) 智能合约中的 ClickFix 载荷。

在过去几个月中，研究人员识别出超过 5,400 个被黑网站，其中大多数基于 WordPress 和 PrestaShop 构建。

初始入侵方法仍不明确，但每个网站都被注入了一个脚本，该脚本从 BSC Testnet 端点的智能合约中获取下一阶段载荷——这一技术被称为 EtherHiding。

云安全平台 Netskope 的研究人员解释说，BSC Testnet 专为开发者设计，功能与主网（生产区块链）类似，但可免费使用。

威胁行为者使用 EtherHiding 技术将恶意代码或配置数据存储在区块链智能合约中，从而提供难以被摧毁的弹性基础设施。

在 Netskope 观察到的投递链中，该脚本显示一个 ClickFix 诱饵，展示一个虚假的 CAPTCHA，并指示访问者打开 Windows 运行对话框并粘贴一条 PowerShell 命令。

执行此操作会在机器上下载并运行最终载荷。由于攻击者将载荷存储在智能合约中，他们可以随时对其进行修改。

研究人员指出，在活动的后期，威胁行为者将智能合约中的 ClickFix 载荷替换为一个 WebRTC 数据通道存根。

在较新的变体中，该载荷会建立一个到攻击者的隐蔽加密通道，并执行接收到的代码。

"该脚本创建一个对等连接和一个数据通道，然后像正常的 WebRTC 握手一样生成所需的会话描述提议，"Netskope 解释道。

"但它不是将该提议发送到任何地方并等待真实回复，而是自行手写答案并将其直接回馈到连接中。这样，虽然未发生握手，但仍会打开一个通往网络攻击者的数据通道。"

该存根从硬编码的命令与控制 (C2) 地址接收 JavaScript 代码，进行缓冲，并在通道关闭时或十秒后执行该代码。

接收到的代码在浏览器内存中组装，并通过将其添加到 DOM 头部而动态执行，无需保存到磁盘。

Netskope 警告称，该活动每天使用超过 300 个被感染的网站。自春季以来，联系 BSC Testnet RPC 端点的被入侵网站数量持续增长。

遥测数据显示，8 月份每天有近 400 个网站调用该端点，历史峰值为 536。

安全研究人员建议防御者屏蔽此处提供的整个 BSC testnet RPC 端点池，并监控与 WebRTC 相关的非 Web UDP 流量。