EtherHiding tauchte vor einigen Jahren als Technik auf, die Blockchain-Technologie zur Verschleierung bösartiger Aktivität nutzt. Bisher beschränkte sich das laut Mouton weitgehend auf Binance oder Ethereum — die Verwendung von Polygon-Smart-Contracts unterscheidet diese Kampagne von früheren Fällen.
Ein zweiter Unterschied betrifft die Zustellung: Statt Opfer auf eine separate Landingpage umzuleiten, kombinieren die Angreifer laut Mouton ein System zur Suchmaschinenvergiftung mit eingeschleustem JavaScript, das die reguläre Overlay-Oberfläche zur menschlichen Verifikation von CloudFlare missbraucht.
Die Kampagne kennt zwei Opfergruppen: das Unternehmen, dessen Website kompromittiert wird und den ClickFix-Köder anzeigt, sowie die einzelne Person, die darauf hereinfällt. Üblicherweise wird zunächst die Unternehmenswebsite übernommen, wodurch das bösartige JavaScript in den Quellcode der Seite gelangt. Das geschieht meist in großem Maßstab, etwa durch die Massenausnutzung einer WordPress-Schwachstelle, und findet bereits beim Aufbau der Infrastruktur statt, also vor dem eigentlichen Start der Kampagne. Einen ähnlichen Ansatz beobachtete die auf Werbesicherheit spezialisierte Firma Confiant kürzlich bei einer Magecart-Kampagne, die mit kompromittierten Shops auf WooCommerce, Magento und WordPress beginnt.
Gelangt ein Nutzer über eine Suchanfrage auf eine solche Seite, durchläuft das JavaScript zunächst einen vorgeschalteten Filter, der entscheidet, ob das Opfer zur nächsten Stufe kommt. Erst dann erscheint das Verifikations-Overlay mit dem inzwischen bekannten ClickFix-Köder: Der Nutzer wird angewiesen, Windows+R, Strg+V und Enter zu drücken. Damit startet der Dropper.
Genau dieser Schritt überraschte das Forschungsteam. „Diese ClickFix-Kampagne führt tatsächlich zur Ausführung eines Droppers, der einen Staging-Server kontaktiert, welcher den C2-Agenten und den Persistenzmechanismus installiert", erklärt Mouton. Bei den meisten ClickFix-Kampagnen wird dagegen ein Infostealer abgelegt, der sich durch Sperren des C2-Servers neutralisieren lässt.
Aufgefallen ist die Kampagne eher zufällig: „Unser Team war mit einer vermeintlich normalen BEC-Untersuchung befasst, dann fanden wir ein Persistenzskript, das die Polygon-Blockchain kontaktierte", sagt Mouton. Nach Entschleierung des Skripts und umfangreichem Nachverfolgen sei die EtherHiding-Infrastruktur zutage getreten.
Die Blockchain diene den Angreifern als „von Angreifern kontrolliertes Adressbuch: Die Malware kann eine aktualisierte C2-Adresse abrufen, ohne dass die Malware selbst geändert werden muss", heißt es im Bericht. Die Installation der Hintertür hinterlasse keine sichtbaren Kompromittierungsanzeichen; die Schadsoftware überstehe Neustarts, melde sich minütlich beim C2 und hole aktualisierte Anweisungen von Polygon.
ClickFix-Angriffe wurden erstmals vor etwa zwei Jahren von Forschern bei Proofpoint beobachtet und haben sich seither in der Cyberkriminalität stark verbreitet. Ziel ist stets, Nutzer dazu zu bringen, bösartige Befehle gegen sich selbst auszuführen.
Als Gegenmaßnahmen empfiehlt Mouton fortgeschrittene Phishing-Schulungen, die ClickFix und weitere Social-Engineering-Taktiken abdecken, kombiniert mit technischen Maßnahmen: das Blockieren von Abfragen an Blockchain-Endpunkte, sofern geschäftlich nicht erforderlich, sowie PowerShell-Protokollierung mit wirksamer Alarmierung. „Die meisten Beschäftigten in Unternehmen haben keinen Bedarf, von firmeneigenen Endgeräten aus die Blockchain abzufragen", so Mouton. Das Sperren der im PowerShell-Skript fest hinterlegten RPC-Endpunkte würde dieser Variante die C2-Verbindung abschneiden.