大規模なサイバー犯罪キャンペーンが、数千件に及ぶ侵害済みの中小企業サイトを悪用し、BNBスマートチェーン(BSC)上のスマートコントラクトに保存されたClickFixペイロードを配信していることが分かりました。
ここ数カ月の間に、研究者らは5,400件を超えるハッキングされたウェブサイトを確認しており、その大半はWordPressおよびPrestaShopで構築されたものです。
侵害の初期手口は依然として不明ですが、各サイトにはBSCテストネットのエンドポイント上にあるスマートコントラクトから次段階のペイロードを取得するスクリプトが埋め込まれていました。これはEtherHidingとして知られる手法です。
クラウドセキュリティプラットフォームのNetskopeの研究者らによると、BSCテストネットは開発者向けに用意されたもので、本番用ブロックチェーンであるメインネットと同様の機能を持ちながら、無料で利用できるとのことです。
脅威アクターはEtherHiding手法を用いて、悪意のあるコードや設定データをブロックチェーンのスマートコントラクト内に保存しており、これにより摘発が困難な堅牢なインフラを構築しています。
Netskopeが確認した配信チェーンでは、スクリプトが偽のCAPTCHAを表示するClickFixの誘導画面を表示し、訪問者に対してWindowsの「ファイル名を指定して実行」ダイアログを開き、PowerShellコマンドを貼り付けるよう指示します。
指示どおりに操作すると、最終的なペイロードが端末上でダウンロード・実行されます。攻撃者はペイロードをスマートコントラクト内に保存しているため、いつでもその内容を変更できます。
研究者らによると、キャンペーンの後半では、脅威アクターがスマートコントラクト内のClickFixペイロードをWebRTCデータチャネルを使ったステージャーに置き換えていたことも確認されています。
この新しい亜種では、ペイロードが攻撃者との間に秘匿された暗号化チャネルを確立し、受信したコードを実行します。
「このスクリプトはピア接続とデータチャネルを作成し、通常のWebRTCハンドシェイクと同じように必要なセッション記述オファーを生成します」とNetskopeは説明しています。
「しかし、そのオファーをどこかへ送信して実際の応答を待つのではなく、 スクリプト自身が応答を手作業で生成し 、それをそのまま接続に返します。これにより、実際のハンドシェイクは行われないものの、サイバー攻撃者へのデータチャネルは開かれた状態になります」
このステージャーは、ハードコードされたコマンド&アンド&コントロール(C2)アドレスからJavaScriptコードを受信してバッファリングし、チャネルが閉じた時点、あるいは10秒経過した時点でそのコードを実行します。
受信したコードはブラウザのメモリ上で組み立てられ、DOMのhead部分に追加することでディスクに保存されることなく動的に実行されます。
Netskopeは、この攻撃活動が1日あたり300件を超える感染済みウェブサイトを利用していると警告しています。春以降、BSCテストネットのRPCエンドポイントに接続する侵害済みサイトの数は一貫して増加を続けています。
テレメトリデータによると、8月には1日あたり約400件のウェブサイトがこのエンドポイントを呼び出しており、過去最多となる536件を記録した日もありました。
セキュリティ研究者らは、防御側に対してこちらで公開されているBSCテストネットのRPCエンドポイント群を一括でブロックし、WebRTCに関連する非Web系のUDPトラフィックを監視するよう推奨しています。
