Una operación cibercriminal a gran escala está usando miles de sitios web de pequeños negocios comprometidos para distribuir cargas maliciosas de tipo ClickFix, almacenadas en contratos inteligentes de la BNB Smart Chain (BSC). Según recoge Bleeping Computer, los investigadores han identificado a lo largo de los últimos meses más de 5.400 sitios web hackeados, la mayoría construidos sobre WordPress y PrestaShop. El método de compromiso inicial sigue sin conocerse.
Cada web infectada esconde un script que llama a la blockchain
Cada sitio comprometido lleva inyectado un script que obtiene la siguiente fase de la carga maliciosa desde un contrato inteligente alojado en un endpoint de la BSC Testnet, una técnica conocida como EtherHiding. Los investigadores de la plataforma de seguridad en la nube Netskope explican que la BSC Testnet está pensada para desarrolladores, funciona de forma similar a la red principal de producción y es gratuita. Los atacantes aprovechan esto para guardar código malicioso o datos de configuración dentro de contratos inteligentes, lo que les da una infraestructura resistente y difícil de derribar.
El engaño clásico de ClickFix, con un añadido: la carga se puede cambiar en cualquier momento
En la cadena de entrega observada por Netskope, el script muestra un señuelo ClickFix: un falso CAPTCHA que pide al visitante abrir el cuadro de diálogo Ejecutar de Windows y pegar un comando de PowerShell. Al hacerlo, se descarga y ejecuta la carga final en el equipo. Como el atacante guarda esa carga en un contrato inteligente, puede modificarla en cualquier momento sin tocar los sitios infectados.
De hecho, los investigadores señalan que más adelante en la campaña el atacante sustituyó la carga de ClickFix por un componente distinto: un stager basado en un canal de datos WebRTC. En esta variante más reciente, el script abre un canal cifrado encubierto hacia el atacante y ejecuta el código que recibe por ahí.
«No hace falta un apretón de manos real para abrir el canal», explica Netskope
Netskope describe así el mecanismo: «El script crea una conexión entre pares y un canal de datos, y genera la oferta de descripción de sesión requerida, igual que en un apretón de manos WebRTC normal». Pero, según la firma, «en lugar de enviar esa oferta a algún sitio y esperar una respuesta real, el propio script escribe la respuesta a mano y la introduce directamente en la conexión. Así no ocurre ningún apretón de manos real, pero igualmente se abre un canal de datos hacia el ciberatacante».
Ese stager recibe código JavaScript desde una dirección de mando y control (C2) escrita a fuego en el propio script, lo almacena en un búfer y lo ejecuta cuando el canal se cierra o, como muy tarde, a los diez segundos. El código recibido se ensambla en la memoria del navegador y se ejecuta de forma dinámica sin llegar a guardarse en disco, añadiéndolo directamente a la cabecera del DOM de la página.
Más de 300 webs infectadas participan cada día en la campaña
Netskope advierte de que la operación mueve más de 300 sitios web infectados cada día. Desde la primavera, el número de sitios comprometidos que contactan con los endpoints RPC de la BSC Testnet ha crecido de forma constante. Los datos de telemetría muestran que en agosto cerca de 400 webs llamaban a ese endpoint cada día, con un pico histórico de 536 sitios en una sola jornada.
Qué pueden hacer quienes gestionan un sitio en WordPress o PrestaShop
Para quien administra webs sobre estos sistemas, el aviso tiene una utilidad práctica más allá de la cifra: los propios investigadores dan una recomendación concreta y accionable. Los defensores deberían bloquear el conjunto completo de endpoints RPC de la testnet de BSC facilitado por los investigadores y vigilar el tráfico UDP ajeno a la navegación web asociado a WebRTC, ya que es precisamente ese tráfico el que delata al stager una vez que el canal encubierto queda abierto. No es una recomendación genérica de higiene de seguridad: apunta directamente al mecanismo descrito, así que sirve tanto para detectar una infección ya activa como para cortarle el paso antes de que el script llegue a ejecutar código en memoria.
La combinación de blockchain, WordPress y PrestaShop no convierte esto en un problema exclusivo de un tipo de sitio: lo que hace resistente a la campaña es guardar la carga en un contrato inteligente que nadie puede tumbar como se tumba un servidor, y eso es lo que obliga a vigilar el tráfico de red en lugar de limitarse a limpiar el sitio infectado.
Escrito por Eloy Andrade
