В последние месяцы распространяется EtherHiding - способ доставки вредоносного кода через смарт-контракты в публичных блокчейнах. Смарт-контракт - это программа, записанная в распределённой сети. Её содержимое нельзя изменить или удалить по чьему-то распоряжению. Атака начинается с обычного сайта. Посетителю показывают проверку "Я не робот", а затем предлагают самостоятельно ввести команду на своём компьютере. Расчёт строится на доверии: человек думает, что подтверждает, что он не робот, а на деле запускает чужой код. Под удар попадают и частные пользователи, и сотрудники компаний с доступом к внутренним системам.
Описание
Схема повторяет сценарий ClickFix, о котором писали в декабре 2025 года. На экране появляется окно с галочкой, имитирующее защиту от автоматических программ. После нажатия всплывает подсказка: открыть командную строку Windows (PowerShell) и вставить туда скопированный текст. Инструкция выглядит как обычная техническая процедура, поэтому многие выполняют её без вопросов. Приманка рассчитана на рядового сотрудника, а не на программиста: от жертвы требуется лишь нажать пару клавиш. В итоге устройство загружает и исполняет чужой код прямо в памяти, не оставляя подозрительных файлов на диске.
Отличие EtherHiding от ранних версий ClickFix - в способе доставки. Раньше команда лежала открытым текстом в коде страницы и просто попадала в буфер обмена. Её можно было заметить глазами и заблокировать. Теперь в коде страницы нет ничего похожего. Браузер обращается к блокчейну и получает ответ, внутри которого спрятана следующая инструкция. Чтение данных из распределённой сети бесплатно, поэтому массовые обращения ничего не стоят злоумышленникам.
Исследование Certego показало, что сильнее всего мешает защите переменный домен второго этапа - адрес, который прописан внутри команды, возвращаемой из блокчейна. Он может отличаться при каждом новом запросе. В части вариантов адрес меняется в зависимости от операционной системы жертвы, времени суток или идентификатора сессии. Обновление смарт-контракта обходится атакующим дёшево, поэтому инфраструктуру переписывают хоть каждый час. Блокировка конкретного домена теряет смысл: следующий посетитель получит уже другой. Список целей при этом не сужается - приманку показывают всем посетителям подряд.
Обычные средства защиты в такой ситуации работают хуже. Статический анализ страницы ничего не находит, ведь подозрительных строк в ней нет. При этом отзыв домена тоже не помогает: вредоносный код живёт не на сервере провайдера хостинга, а в публичной сети. Изъять или отключить запись из блокчейна нельзя, для этого пришлось бы остановить всю сеть. Решения, которые сверяются со списками известных плохих адресов, здесь бессильны: адрес появляется в момент обращения и живёт считаные часы.
В ответ команда киберразведки Certego собрала собственный анализатор. Он берёт домен и проверяет, не отдаёт ли тот посетителям приманку с ложной проверкой. Если да, инструмент вытаскивает адрес второго этапа, который оказался бы в команде у жертвы. За основу взяли ClickGrab - открытый проект по сбору признаков атак ClickFix. Его расширили новыми правилами, чтобы распознавать более сложные случаи, включая EtherHiding. Анализатор встроили в IntelOwl, внутреннюю платформу анализа угроз, на которой работают сервисы мониторинга Certego. Кроме адреса инструмент показывает фрагменты кода, помеченные как подозрительные. При желании их отправляют на разбор языковой модели Google Gemini. Та выдаёт текстовое описание возможной полезной нагрузки. Проверку аналитики запускают прямо из рабочей среды, где ведут расследования.
Для бизнеса риски здесь двойные. Первый - заражение рабочей станции сотрудника и проникновение во внутреннюю сеть. Через командную строку можно загрузить программу удалённого доступа и закрепиться в системе надолго. Между тем второй риск связан с репутацией. Страницы с поддельной проверкой часто появляются на взломанных легитимных сайтах, в том числе на платформах с массовым управлением контентом. Компания может месяцами не знать, что её ресурс участвует в чужой схеме.
Защита не требует экзотических решений. Не стоит выполнять команды, скопированные со страницы браузера, даже если сайт выглядит солидно. Проверка "Я не робот" никогда не просит открывать командную строку. Браузер и систему лучше держать обновлёнными, а на рабочих машинах ограничить запуск сценариев для рядовых сотрудников. Регулярная проверка собственного сайта на посторонние вставки помогает заметить взлом раньше клиентов.
Метод будет развиваться: децентрализованное хранение уже показало себя как удобная площадка для обхода блокировок. Гонка идёт не вокруг отдельного домена или файла, а вокруг скорости реакции. Пока защитные инструменты разбирают одну приманку, появляется следующая. Выигрывают те, кто умеет распознавать саму механику атаки, а не только её отдельные следы.
Индикаторы компрометации
