Вредоносная кампания затронула не менее 31 легальной компании. Среди жертв - операторы электронной коммерции, провайдеры профессиональных услуг и логистические компании. Злоумышленники взломали их сайты и используют эти ресурсы для скрытой доставки вредоносного ПО. Посетители не подозревают об опасности, так как сайты принадлежат известным организациям. Бизнесу важно понимать, что обычный пользователь не может отличить подлинный ресурс от взломанного. Атакующие тщательно копируют внешний вид страниц. Кампания продолжается, поэтому число пострадавших может вырасти.
Описание
Атака начинается с подмены содержимого страницы. Пользователь попадает на взломанный сайт из результатов поиска. Вместо обычного контента он видит фейковое окно проверки под капчу. Ресурс просит подтвердить, что посетитель не робот. Сайт предлагает нажать комбинацию клавиш, которая вызывает окно выполнения команд. Затем требуется вставить туда текст и нажать клавишу ввода. Выполнение инструкции устанавливает на компьютер скрытую программу удаленного управления. На экране не появляется никаких признаков заражения. Эта уловка называется ClickFix. Она обходит многие технические фильтры, поскольку действия выполняет сам пользователь.
Установленный компонент работает как стойкий агент. Он переживает перезагрузки и автоматически запускается при старте системы. Каждую минуту программа связывается с командным центром. В коде отсутствуют адреса серверов. Программа получает их из общедоступного блокчейна Polygon. Polygon - это распределенный реестр, не принадлежащий ни одной корпорации или государству. Поэтому заблокировать его целиком невозможно. Операторы используют блокчейн как постоянно обновляемый справочник серверов. Достаточно отправить обычную криптовалютную транзакцию, чтобы все зараженные машины получили новый адрес. Такая операция стоит доли цента. Следовательно, смена инфраструктуры происходит часто. После получения управления злоумышленники загружают дополнительные модули, похищают пароли или включают машины в сеть для атак.
Этот подход отличается от традиционных ClickFix-кампаний. В прошлых версиях адреса командных серверов зашивались в код. Аналитики находили их и вносили в черные списки. В результате блокировки связь с бэкдором обрывалась. Атакующим приходилось перевыпускать вредоносное ПО с новыми адресами, что требовало времени и ресурсов. Однако теперь блокировка отдельного домена или IP-адреса не помогает. Замена происходит за секунды, а список серверов бесконечен. Данный механизм назвали EtherHiding. Он подрывает эффективность статических индикаторов, поэтому поведенческие сигнатуры становятся важнее. Классические антивирусы не всегда находят подобные угрозы, поскольку опираются на сигнатуры файлов.
Техника не возникла из ниоткуда. Уже в 2023 году киберпреступные группы экспериментировали с хранением управляющей информации в блокчейне. По данным анализа, к концу 2025 года на такой метод перешли государственные хакеры из Северной Кореи. В начале 2026 года к ним присоединились группировки, связанные с Ираном. Нынешняя кампания демонстрирует переход схемы в широкую криминальную среду. Это значит, что EtherHiding становится стандартным инструментом, а не экзотикой. Через него доставляют банковские трояны и другие вредоносные программы. При этом стоимость смены адреса настолько низка, что операторы могут обновлять его ежедневно.
Организациям нужно адаптировать защиту к новой реальности. Прежние меры на основе блокирования известных адресов недостаточны. Стоит переключить внимание на поведенческие признаки. Полезные сигналы - автоматически генерируемые домены, повторяющиеся сетевые диапазоны, недавно созданные адреса. Кроме того, обязателен постоянный аудит общедоступных сайтов, особенно на платформах WordPress и Magento. В исследовании очищенные ресурсы вновь заражались через несколько недель, поэтому разовые проверки неэффективны. Важно ограничить установку браузерных расширений без одобрения администратора. Часть атак завершается установкой вредоносного расширения для кражи банковских данных. ClickFix-сценарии стоит добавить в тренинги по безопасности, так как сотрудники должны распознавать такой обман. Если организация обнаружит признаки кампании, нужно немедленно инициировать реагирование на инцидент. Стоит считать скомпрометированными все учетные данные, введенные на затронутых машинах.
У блокчейн-управления есть и обратная сторона. Распределенный реестр хранит записи о каждой транзакции, и операторы не могут скрыть свои действия. Исследователи видят историю смены адресов, время операций и связь между кошельками. Эти данные позволяют создавать новые сигнатуры и поведенческие детекторы. Информация остается доступной всегда, тогда как серверная инфраструктура может меняться. Атакующие полагаются на блокчейн, но именно он оставляет неизгладимые следы, пригодные для построения защиты. Осведомленность о таких тактиках помогает выявлять атаки на ранних стадиях.
Индикаторы компрометации
