Contratos inteligentes de blockchain para ofuscar una campaña maliciosa

El equipo de investigación de WatchGuard ha publicado un detallado post en el que da cuenta de su último hallazgo: una campaña todavía activa de ErrTraffic, un framework de Malware-as-a-Service (MaaS). La compañía ha podido identificar 47 dominios y URL asociadas a esta campaña, a través de la cual se han distribuido distintas familias de malware, como Vidar, Okobot, LegionLoader, OnionDrop y BabaDedaLoader.

Se trata de una campaña bastante compleja, que combina sitios web de WordPress que han sido comprometidos, ingeniería social con ClickFix y EtherHiding basado en blockchain. Este último elemento es clave: "los atacantes utilizan contratos inteligentes de la blockchain Polygon para ocultar y resolver de forma dinámica parte de su infraestructura maliciosa". Una flexibilidad que les permite modificar dominios e infraestructura sin cambiar el mecanismo inicial.

La investigación ha permitido identificar variantes de OnionDrop que no habían sido documentadas, como una que utiliza la DLL side-loading o diferentes mecanismos de antianálisis y técnicas de ocultación. Además, la arquitectura de la campaña es modular, lo que permite a los atacantes cambiar los componentes, la infraestructura o el malware final sin necesidad de reconstruir toda la cadena de ataque.

Euler Neto, investigador de WatchGuard Threat Lab y autor de la investigación, explica que, "al combinar sitios de WordPress comprometidos, ingeniería social con ClickFix, ia EtherHiding basada en blockchain, DLL side-loading, inyección de procesos y múltiples familias de malware, los atacantes pueden crear campañas altamente flexibles, diseñadas para eludir los métodos de detección tradicionales y modificar continuamente la forma en que se entregan las cargas útiles".