Más de 5.400 sitios web pirateados alojan cargas útiles de ClickFix almacenadas en la cadena de bloques

Una gran cam­pa­ña de­lic­ti­va di­gi­tal está uti­li­zan­do miles de pá­gi­nas web pi­ra­tea­das de pe­que­ños ne­go­cios para dis­tri­buir car­gas ma­li­cio­sas del tipo Click­Fix. Estas car­gas se en­cuen­tran guar­da­das en con­tra­tos in­te­li­gen­tes den­tro de la ca­de­na de blo­ques BNB Smart Chain, es­pe­cí­fi­ca­men­te en su red de prue­bas.

Los in­ves­ti­ga­do­res des­cu­brie­ron que los si­tios afec­ta­dos están prin­ci­pal­men­te de­sa­rro­lla­dos en Word­Press y Pres­taShop. Aun­que se des­co­no­ce cómo ocu­rrió el ata­que ini­cial, en las pá­gi­nas se in­tro­du­jo un script que ex­trae la carga de la ca­de­na de blo­ques me­dian­te una tác­ti­ca de­no­mi­na­da EtherHi­ding, la cual per­mi­te a los de­lin­cuen­tes alo­jar có­di­go ma­li­cio­so en con­tra­tos in­te­li­gen­tes de forma gra­tui­ta y con una in­fra­es­truc­tu­ra di­fí­cil de eli­mi­nar.

El script mues­tra un en­ga­ño que si­mu­la un CAPTCHA y pide a los usua­rios abrir una ven­ta­na del sis­te­ma y eje­cu­tar un co­man­do que des­car­ga la carga final. Los ata­can­tes tie­nen la ca­pa­ci­dad de mo­di­fi­car dicho con­te­ni­do en cual­quier mo­men­to, y en eta­pas pos­te­rio­res de la cam­pa­ña re­em­pla­za­ron el com­po­nen­te por un sis­te­ma ba­sa­do en WebRTC que es­ta­ble­ce un canal ci­fra­do para re­ci­bir y eje­cu­tar có­di­go de ma­ne­ra di­ná­mi­ca en la me­mo­ria del na­ve­ga­dor.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el de­sa­rro­llo pos­te­rior de esta cam­pa­ña ni sobre los datos adi­cio­na­les del re­por­te men­cio­na­do al final.