5 400 sites piratés servent des malwares cachés dans la blockchain
· 3 min de lecture
Des chercheurs en sécurité ont découvert une campagne malveillante de grande ampleur exploitant des milliers de sites web d'entreprises compromis. Ces sites servent de relais pour distribuer des charges offensives stockées directement dans des contrats intelligents sur la BNB Smart Chain (BSC).
La société Netskope, spécialisée dans la sécurité cloud, a identifié plus de 5 400 sites touchés, principalement construits sur WordPress et PrestaShop. L'opération est active depuis plusieurs mois et continue de prendre de l'ampleur.
La blockchain comme infrastructure d'attaque
La technique utilisée ici s'appelle l'EtherHiding. Elle consiste à stocker du code malveillant ou des données de configuration dans des contrats intelligents déployés sur une blockchain, en l'occurrence le BSC Testnet, un environnement de test gratuit fonctionnant comme la blockchain principale.
L'intérêt pour les attaquants est majeur : une infrastructure hébergée sur une blockchain publique est pratiquement impossible à retirer. Contrairement à un serveur classique qui peut être saisi ou bloqué, les données inscrites dans un contrat intelligent restent accessibles en permanence. Les opérateurs peuvent également modifier le contenu du contrat à tout moment, sans toucher aux sites compromis.
Chaque site infecté embarque un script qui va interroger le contrat intelligent pour récupérer la charge de la prochaine étape. Cela permet aux attaquants de faire évoluer leur arsenal en temps réel.
Le piège ClickFix et le canal WebRTC furtif
Dans un premier temps, la campagne reposait sur la technique dite ClickFix. Les visiteurs des sites piratés se voyaient présenter un faux CAPTCHA les invitant à ouvrir la boîte de dialogue Exécuter de Windows et à y coller une commande PowerShell. L'exécution de cette commande déclenchait le téléchargement et l'installation du malware final.
Les chercheurs de Netskope ont ensuite observé une évolution du dispositif. Les attaquants ont remplacé cette méthode par un composant dit "stager" basé sur WebRTC, un protocole normalement utilisé pour les communications audio et vidéo en temps réel dans les navigateurs.
Ce nouveau composant établit un canal chiffré et discret vers les serveurs des attaquants, puis exécute le code reçu directement en mémoire, sans jamais l'écrire sur le disque de la victime. Cette approche complique considérablement la détection par les antivirus traditionnels.
Une propagation qui s'accélère
Les données de télémétrie collectées par Netskope montrent une progression constante depuis le printemps. En août, près de 400 sites contactaient chaque jour les points d'accès du BSC Testnet, avec un pic enregistré à 536 sites en une seule journée. En moyenne, plus de 300 sites infectés participent à l'opération quotidiennement.
Pour se défendre, Netskope recommande aux équipes de sécurité de bloquer l'ensemble des points d'accès RPC du BSC Testnet et de surveiller le trafic UDP non lié au web, qui peut trahir une activité WebRTC suspecte. La méthode initiale de compromission des sites reste pour l'instant inconnue.
Cette campagne illustre une tendance croissante chez les cybercriminels : détourner des technologies décentralisées légitimes pour héberger leurs infrastructures et échapper aux mécanismes de suppression habituels. La blockchain, conçue pour la résilience, devient ici un outil au service de la persistance malveillante.
Source : Bleeping Computer
L'auteur
Charles Gouin-Peyrot
Journaliste tech et testeur indépendant, je décrypte la tech grand public. Spécialisé dans le hardware, l'audio et la maison connectée, je mets ma rigueur technique et mon expérience de formateur au service de mes tests. Mon objectif est simple : dépasser les fiches techniques pour vous livrer des analyses transparentes, impartiales et ancrées dans un usage 100 % réel.
Voir tous ses articles
