Quando un sito web compromesso punta alla blockchain, l'ultimo miglio diventa la trappola

Un visitatore non deve notare molto perché questo tipo di campagna funzioni. Si carica un sito dall'aspetto normale. Compare un prompt. Viene incollato un comando. E da qualche parte dietro quella semplice interazione c'è una catena di distribuzione suddivisa tra siti web dirottati, archiviazione on-chain ed esecuzione da parte dell'utente. Questa combinazione è importante perché sfuma il confine abituale tra compromissione del web e compromissione dell'endpoint.

Fatti rapidi

• Più di 5.400 siti web compromessi fanno parte dell'infrastruttura di distribuzione.
• I siti interessati sono descritti come siti web di piccole imprese.
• I payload ClickFix sono descritti come archiviati in smart contract sulla BNB Smart Chain.
• Il modello di attacco dipende dal fatto che un utente copi ed esegua un comando, invece di aprire un allegato classico.
• Il metodo esatto di compromissione dei siti web non è stato stabilito nei dettagli disponibili.

Come funziona la catena

ClickFix si può intendere meglio come un trucco basato sull'esecuzione da parte dell'utente. Invece di rilasciare un file o forzare uno sfruttamento diretto, l'attaccante tenta di convincere la vittima a incollare ed eseguire un comando in una shell, in un terminale o in un'interfaccia simile. Nei termini di ATT&CK, questo corrisponde a una esecuzione malevola tramite copia e incolla, ed è pericoloso proprio perché sposta il passaggio finale sull'utente.

Lo strato blockchain è la parte più insolita. Gli smart contract possono contenere dati ed esporli tramite letture programmatiche, il che li rende un luogo duraturo in cui memorizzare istruzioni o puntatori al payload. In termini difensivi, ciò può ridurre la dipendenza da normali file ospitati, che sono più facili da sospendere, sostituire o bloccare. Non rende l'attacco inarrestabile, ma può rendere il percorso di distribuzione più resiliente e più difficile da smantellare.

Questo cambia anche ciò che i difensori dovrebbero cercare. Gli indicatori ovvi non sono sempre i migliori. Un sito compromesso può essere solo il front-end, mentre il vero punto di controllo si trova altrove. Se il contenuto on-chain cambia, la stessa pagina infetta può iniziare a servire istruzioni diverse senza una nuova compromissione del sito web. Ecco perché gli indicatori statici sono spesso di breve durata in queste campagne.

Dal punto di vista pratico, questo schema può significare anche traffico blockchain insolito originato dal browser, modifiche impreviste agli script sui siti delle piccole imprese e esche di copia e incolla che chiedono agli utenti di eseguire comandi che non comprendono. Nessuno di questi segnali prova da solo una compromissione, ma insieme formano un quadro utile per la hunting.

Al momento della stesura, la causa tecnica completa alla base delle compromissioni dei siti web, il percorso esatto di recupero dalla chain al browser e l'impatto a valle sugli utenti finali non sono stati completamente stabiliti. Le informazioni disponibili supportano una valutazione del rischio, non una conclusione definitiva su ogni sito interessato o su ogni possibile esito per la vittima.

Conclusione

La lezione più ampia è semplice: gli attaccanti continuano a scomporre la catena d'attacco in pezzi più difficili da rimuovere in un solo colpo. Un sito web compromesso può essere solo la porta d'ingresso. Un contratto blockchain può essere la memoria. E l'utente, se manipolato nel momento sbagliato, può diventare il motore di esecuzione. Per i difensori, questo significa guardare oltre la pagina e osservare il comportamento attorno ad essa.

WIKICROOK

• ClickFix: Una tecnica di social engineering che spinge gli utenti a copiare ed eseguire da soli comandi malevoli.
• Smart contract: Un programma blockchain che può memorizzare dati ed esporli per il recupero automatizzato.
• BNB Smart Chain: Una rete blockchain compatibile con EVM che supporta smart contract e letture programmatiche.
• Esecuzione malevola tramite copia e incolla: Un pattern di esecuzione utente di ATT&CK in cui la vittima incolla in una shell o in un terminale comandi controllati dall'attaccante.
• Dead drop: Un luogo nascosto usato per memorizzare o recuperare istruzioni d'attacco senza fare affidamento su un server web convenzionale.