Кампания EtherHiding прячет адреса управляющих серверов в блокчейне Polygon

Обычная вредоносная программа носит адрес управляющего сервера с собой. Защитники находят домен, блокируют его, и заражённые машины теряют связь с оператором. С блокчейном этот способ не работает. Код спрашивает у смарт-контракта, куда подключаться сейчас. Ответ меняется за доли цента. Одна транзакция переводит сразу все заражённые машины на новый адрес. Хранилище в блокчейне невозможно закрыть или изъять. Данные лежат на тысячах компьютеров по всему миру. Правки смарт-контракта навсегда остаются в открытом реестре, и этим воспользовались при расследовании.

Первое криминальное применение техники описали в 2023 году. К октябрю 2025 года её взяли на вооружение группировки из Северной Кореи. В марте 2026 года приём заметили у связанных с Ираном атакующих. Описанная кампания показывает, что метод перешёл в обычную киберпреступность и распространился на другие блокчейны.

По данным GuidePoint, расследование началось с инцидента с компрометацией корпоративной почты. Команда реагирования на инциденты обнаружила в ходе разбора смарт-контракт. От него аналитики перешли к кошельку оператора, затем к действующему адресу управляющего сервера. Так удалось восстановить всю цепочку атаки. Всего подтвердили заражение 31 легитимного сайта в нескольких странах.

Первый шаг цепочки - взлом обычных деловых сайтов. На их страницы встроили короткие скрытые скрипты. Посетитель приходит из поиска Bing или Google. Скрипт незаметно обращается к отдельному слою инфраструктуры, который решает, кому достанется заражение. Оператор предусмотрел две проверки. Первая смотрит на метку в браузере: повторный визит цепочку не запускает. Вторая включает тридцатисекундный таймер после первого клика по странице. Вне окна заражение не срабатывает. Этот слой защиты скрывает массовость атак и усложняет разбор.

Прошедший проверку видит поддельную страницу с предложением подтвердить, что он не робот. Ему предлагают открыть системное окно запуска и вставить туда длинную команду. Инструкция выглядит как обычный шаг проверки. На деле человек сам запускает загрузку вредоносного кода. Такой приём не требует сложной эксплуатации уязвимостей в браузере и легко обходит почтовые фильтры.

Дальше включается закрепление. В системе появляется задача, которая повторяет попытку каждую минуту до успеха. Затем загружаются два скрипта. Первый прописывает код в автозагрузку и удаляет задачу, заметая следы. Второй становится основным каналом управления. Перед выходом на связь он обращается к блокчейну и получает зашифрованный ответ с текущим адресом сервера. Пока сеть блокчейна доступна, команда неизменно находит цель.

Возможности закрепившегося кода оказались широкими. В одних случаях он ставит переупакованную программу записи экрана. В других - поддельное расширение браузера. Такое расширение работает как банковская вредоносная программа в реальном времени. Оно перехватывает логины и коды двухфакторной аутентификации в момент ввода. В списке целей около 479 банковских и криптовалютных сервисов.

Инфраструктуру удалось разобрать полностью. За семь месяцев оператор развернул 15 смарт-контрактов шестью волнами с двух кошельков. Первый контракт появился 2 ноября 2025 года. Использовались три шаблона. Один оставлял публичные записи о каждом обновлении, и именно по ним нашли кампанию. Второй не оставляет записей вовсе. Его явно создали, чтобы уйти от того способа поиска, который сработал раньше. Назначение третьего шаблона осталось неясным: после развёртывания к нему ни разу не обращались.

Адреса для доставки вредоносного кода тоже менялись. Всего подтвердили восемь таких доменов, и все зарегистрированы через одного регистратора. Часть появилась за минуты друг от друга, за день до развёртывания основного контракта. Один домен простоял зарегистрированным почти четыре месяца до первого использования. Управляющие адреса работают параллельно. Даже самый старый из них принимал реальные подключения в июне 2026 года, когда основным считался другой. Блокировка одного домена задачу не решает.

Слабое место нашлось у самих атакующих. Один их сервер не скрыт за сервисом защиты и доступен для прямого сканирования. На нём работают устаревшие версии программного обеспечения. Проверка выявила семь известных уязвимостей, которые уже активно используют по всему миру, включая ошибки в системных библиотеках и в службе удалённого доступа. Это редкий случай, когда у защитников есть готовый повод для жалобы хостинг-провайдеру. Регистратор по обращению заблокировал один управляющий домен из четырёх. Остальные остаются активными, и часть заражённых сайтов по-прежнему отдаёт посетителям вредоносный скрипт.

Защита от такой схемы строится на поведении, а не на списках доменов. Последовательность "задача с минутным интервалом, затем скрытый запуск скриптов из временных папок, затем обращение к блокчейну" переживёт любую смену адресов. Обращения к узлам блокчейна разумно ограничивать, если бизнес-задачи их не требуют. Компаниям полезно контролировать установку расширений браузера и появление новых регистраций в системе. Подтверждённая установка такого расширения означает, что введённые после этого банковские данные могли попасть к злоумышленникам. Жалобы регистраторам работают быстрее технических попыток закрыть инфраструктуру. А мониторинг изменений в смарт-контрактах даёт защитникам полную историю решений оператора, и стереть её одной транзакцией уже не получится.