Oltre 5.400 siti web di piccole imprese sono stati violati per distribuire malware ClickFix nascosto in smart contract sulla BNB Smart Chain. La tecnica EtherHiding rende la minaccia difficile da bloccare e in continua evoluzione.
Un attacco informatico senza precedenti sta colpendo migliaia di siti web di piccole imprese, con una strategia che sfrutta la resilienza della blockchain per diffondere malware in modo quasi impossibile da fermare. Ogni giorno, oltre 300 siti infetti vengono utilizzati per veicolare nuovi payload, con picchi che hanno superato le 500 compromissioni giornaliere ad agosto.
Il cuore dell'operazione è la tecnica EtherHiding: i criminali informatici iniettano uno script malevolo nei siti, la maggior parte dei quali basati su WordPress e PrestaShop, che recupera il codice dannoso direttamente da smart contract sulla BNB Smart Chain Testnet. Questo approccio consente agli attaccanti di aggiornare il payload in tempo reale, aggirando le difese tradizionali e rendendo inefficaci le normali procedure di rimozione.
Come funziona la catena di infezione
Il meccanismo è tanto semplice quanto insidioso. I visitatori dei siti compromessi si trovano davanti a un finto CAPTCHA che li invita ad aprire la finestra Esegui di Windows e incollare un comando PowerShell. In pochi secondi, il malware ClickFix viene scaricato ed eseguito sul dispositivo della vittima. In una fase successiva, i ricercatori di Netskope hanno osservato che il payload è stato sostituito da uno stager WebRTC, capace di instaurare un canale cifrato diretto con il server di comando e controllo degli attaccanti.
La variante WebRTC non si limita a scaricare file: crea una connessione peer-to-peer, genera un'offerta di sessione come in una normale stretta di mano WebRTC, ma invece di attendere una risposta reale, la genera e la inserisce direttamente, aprendo così un canale dati segreto. Il codice JavaScript ricevuto viene assemblato in memoria e eseguito dinamicamente nel browser, senza lasciare tracce su disco.
Impatto e numeri della campagna
Secondo Netskope, la campagna ha visto una crescita costante dal periodo primaverile, con quasi 400 siti che ogni giorno contattavano gli endpoint RPC della BSC Testnet. Il picco massimo registrato è stato di 536 siti in una sola giornata. La persistenza della minaccia è garantita dalla natura stessa della blockchain: i dati malevoli inseriti negli smart contract non possono essere rimossi facilmente, e gli attaccanti possono modificarli in qualsiasi momento.
Il fenomeno non è isolato: la vulnerabilità dei siti WordPress è già stata oggetto di precedenti indagini, ma l'uso della blockchain come vettore di distribuzione rappresenta un salto di qualità nella sofisticazione degli attacchi.
Difese possibili e limiti delle contromisure
Gli esperti raccomandano di bloccare l'intero pool di endpoint RPC della BSC Testnet e di monitorare il traffico UDP non web associato a WebRTC. Tuttavia, la capacità degli attaccanti di aggiornare i payload in tempo reale e la difficoltà di rimuovere codice dalla blockchain rendono la difesa una corsa contro il tempo. Le aziende che trascurano la sicurezza dei propri siti rischiano di diventare inconsapevoli vettori di infezione per migliaia di utenti.
Questa campagna segna un punto di svolta: la criminalità informatica ha compreso che la blockchain non è solo uno strumento per le criptovalute, ma una piattaforma ideale per nascondere e distribuire codice malevolo in modo decentralizzato e persistente. Finché la sicurezza dei siti web rimarrà debole e la blockchain continuerà a offrire infrastrutture gratuite e difficili da censurare, il vantaggio resterà saldamente nelle mani degli attaccanti.
