Специалисты компании Netskope обнаружили масштабную вредоносную кампанию, в которой атакующие используют более 5400 взломанных сайтов для распространения ClickFix-пейлоадов. При этом сам вредоносный код хранится в смарт-контрактах BNB Smart Chain (BSC), что заметно усложняет блокировку инфраструктуры хакеров.
По информации исследователей, большинство скомпрометированных сайтов работают под управлением WordPress и PrestaShop и принадлежат небольшим компаниям. Причем пока неизвестно, как именно злоумышленники получают первоначальный доступ к таким ресурсам.
На каждый взломанный сайт хакеры внедряют специальный скрипт, который обращается к RPC-эндпоинтам BSC Testnet и получает из смарт-контракта данные для следующей стадии атаки.
Такая техника атак известна под названием EtherHiding, и она подразумевает, что злоумышленники размещают вредоносный код или конфигурации в смарт-контрактах на публичном блокчейне. Благодаря принципам работы блокчейна EtherHiding обеспечивает анонимность, устойчивость к блокировкам и позволяет атакующим обновлять пейлоады. Кроме того, получение полезной нагрузки может осуществляться с помощью read-only вызовов, которые не оставляют видимой истории транзакций, что добавляет процессу скрытности.
В цепочке, которую изучили специалисты Netskope, загруженный со взломанного сайта скрипт показывает посетителю поддельную CAPTCHA. Пользователю предлагают открыть окно «Выполнить» в Windows и вставить туда PowerShell-команду. Если жертва следует инструкции, команда загружает и запускает финальный пейлоад. При этом BSC Testnet предназначена для разработчиков и работает почти так же, как основная сеть BSC, но пользоваться тестовой сетью можно бесплатно.
Поскольку пейлоад хранится в смарт-контракте, операторы кампании могут менять его в любой момент. В частности, исследователи заметили, что ClickFix-пейлоад уже заменили на стейджер, использующий для передачи данных WebRTC.
Стейджер открывает зашифрованный WebRTC-канал связи с инфраструктурой злоумышленников, но обходится без обычного хендшейка. Так, обычно одна сторона формирует предложение для установления соединения, отправляет его другой стороне и получает ответ. Но в этом случае скрипт сам генерирует и предложение, и ответ, после чего передает их локально в созданное соединение. В результате обмен данными с атакующими начинается без полноценного WebRTC-хендшейка.
После этого стейджер получает JavaScript-код с жестко заданного C2-адреса, буферизует его и запускает после закрытия канала или спустя 10 секунд. Код собирается прямо в памяти браузера и динамически выполняется через добавление в элемент head DOM, то есть на диск машины жертвы ничего не записывается.
Всего за время наблюдения исследователи выявили более 5400 скомпрометированных сайтов, задействованных в этой кампании, и активность злоумышленников растет. Так, в августе 2026 года наблюдалось почти 400 взломанных сайтов в сутки, а максимальный показатель достигал 536.
Для защиты специалисты рекомендуют блокировать весь пул RPC-эндпоинтов BSC Testnet (приложены к отчету), а также отслеживать нестандартный UDP-трафик, связанный с WebRTC.
