ClearFake: Έξυπνες Συμβάσεις BSC Testnet για Ανθεκτική Ασφάλεια

Μία νέα, επικίνδυνη απειλή κακόβουλου λογισμικού, γνωστή ως ClearFake, έχει αναδειχθεί, εκμεταλλευόμενη τις δυνατότητες των έξυπνων συμβολαίων blockchain. Αυτή η πρωτοβουλία καθιστά τη διαδικασία εντοπισμού και προσβολής της σχεδόν αδύνατη για τις ομάδες κυβερνοασφάλειας.

Αντί να βασίζονται σε κλασικούς διακομιστές, οι επιτιθέμενοι έχουν «κλείσει» την υποδομή τους μέσα στο τεστ δίκτυο BNB Smart Chain. Αυτή η αποκεντρωμένη αρχιτεκτονική καθιστά την αποστολή εντολών και ελέγχου αδύνατη για τις αρχές, καθώς κανείς δεν έχει τη δυνατότητα να την ελέγξει ή να την διακόψει.

Ο μηχανισμός διάδοσης του ClearFake ξεπερνά τον παραδοσιακό τρόπο προσβολής, καθώς οι επιτιθέμενοι εισάγουν κρυφό κώδικα JavaScript σε νόμιμους ιστότοπους. Τα θύματα, με απλή επίσκεψη σε αυτούς τους παραβιασμένους ιστότοπους, μολύνονται χωρίς τη δική τους εμπλοκή.

Η μόλυνση μπορεί να πραγματοποιηθεί μόλις επισκεφτούν μια περιβαλλοντική σελίδα που έχει παραβιαστεί. Σε μία μάλιστα περίπτωση, ένας υπάλληλος ψυχαγωγίας στην Ελβετία βρέθηκε με το μηχάνημά του να έχει καταληφθεί, και αυτό συνέβη μέσω μιας πλήρως αυτοματοποιημένης διαδικασίας επιθέσεων.

Η ανάλυση του Trend Micro αποκάλυψε το βάθος της εκστρατείας ClearFake τον Μάιο του 2026. Η εταιρεία αναφέρει ότι οι επιτιθέμενοι χρησιμοποιούν μια τεχνική που ονομάζεται EtherHiding, η οποία εξασφαλίζει την αποθήκευση των εντολών δρομολόγησης των ωφέλιμων φορτίων μέσα στα έξυπνα συμβόλαια blockchain—παρακάμπτοντας έτσι τις συνήθεις μεθόδους αποκλεισμού βασισμένες σε URLs.

Η επίθεση προσφέρει δύο ισχυρά εργαλεία: το SectopRAT, ένα Trojan Remote Access γραμμένο σε .NET, που μπορεί να παραβιάσει τις διαδικασίες του προγράμματος περιήγησης, καθώς και το ACRStealer, ένα πρόγραμμα κλοπής πληροφοριών γραμμένο σε C++ που συλλέγει κωδικούς πρόσβασης και δεδομένα κρυπτονομισμάτων.

Οι χρήστες που λειτουργούν σε Windows και macOS δρομολογούνται σε διαφορετικά ωφέλιμα φορτία, με βάση την ανίχνευση του λειτουργικού τους συστήματος σε πραγματικό χρόνο.

Αυτό που καθιστά την καμπάνια αυτή ιδιαίτερα ανησυχητική είναι η σταθερότητά της. Έχουν εντοπιστεί τέσσερα έξυπνα συμβόλαια που μοιράζονται μία μόνο διεύθυνση πορτοφολιού και το πιο παλιό συμβόλαιο αναπτύχθηκε σχεδόν έναν χρόνο πριν από τη διεξαγωγή της ανάλυσης.

Αυτό δεν είναι μια μεμονωμένη απόπειρα. Αναδεικνύει μια στυγνή, πλήρως οργανωμένη καμπάνια σχεδιασμένη να επιβιώσει από οποιαδήποτε προσπάθεια κατάργησης από τους αρμόδιους φορείς ή τους προμηθευτές ασφαλείας.

Στρατηγική ClearFake με Smart Contracts BSC Testnet

Η τεχνική EtherHiding επιτρέπει την αποθήκευση κακόβουλης JavaScript απευθείας μέσα σε έξυπνα συμβόλαια, αντί σε παραδοσιακούς φιλοξενούμενους Ιστό.

Με την επίσκεψη ενός θύματος σε παραβιασμένο ιστότοπο, ο έγχυτος κώδικας στέλνει ερωτήματα στο blockchain, φορτώνοντας το ωφέλιμο φορτίο απευθείας στο πρόγραμμα περιήγησης, χωρίς τη χρήση εξωτερικών URLs.

Οι πληροφορίες blockchain αναπαράγονται σε πολλούς κόμβους, καθιστώντας αδύνατη την κατάργηση του διακομιστή ή την κατάσχεση του domain.

Η μέθοδος ClearFake αποθηκεύει πλήρως την κακόβουλη JavaScript στην αλυσίδα, και όχι απλώς την διεύθυνση URL.

Τα τέσσερα συμβόλαια παίζουν διακριτούς ρόλους: το Smart Contract A είναι υπεύθυνο για την αποστολή των εντολών δρομολόγησης, το Smart Contract B περιέχει την επικάλυψη ClickFix για Windows, το Smart Contract C είναι ειδικά για macOS και το Smart Contract D παρακολουθεί τους συμβιβασμούς σε πραγματικό χρόνο.

Η λειτουργία στο δοκιμαστικό δίκτυο σημαίνει επίσης ότι οι επιτιθέμενοι δεν χρειάζεται να καταβάλουν οποιοδήποτε κόστος, καθώς τα δοκιμαστικά tokens BNB δεν έχουν χρηματική αξία.

ClickFix Overlay και Διπλή Παράδοση Ωφελιμού Φορτίου

Αφού το ερώτημα στον blockchain επιτυχεί, τα θύματα παρατηρούν μια ψεύτικη επικάλυψη Google reCAPTCHA με το κουτί ελέγχου “Δεν είμαι ρομπότ”.

Το κλικ σε αυτό ενεργοποιεί το πάνελ κοινωνικής μηχανικής ClickFix, το οποίο εισάγει ταυτόχρονα μια κακόβουλη εντολή απευθείας στο πρόχειρο του θύματος.

Οι χρήστες Windows καλούνται να ανοίξουν το παράθυρο διαλόγου “Εκτέλεση” και να επικολλήσουν την εντολή, φορτώνοντας ένα απομακρυσμένο DLL στη μνήμη, χωρίς να εγγραφεί ποτέ στο δίσκο. Ένας φορτωτής RAT και shellcode βασισμένο σε Python εγκαθίσταται αθόρυβα σε ένα φάκελο που μιμείται μια νόμιμη διεύθυνση FTP.

Οι ομάδες ασφαλείας καλούνται να αποκλείσουν την εξερχόμενη κίνηση JSON-RPC προς τα τελικά σημεία BNB Smart Chain testnet, ξεκινώντας από το bsc-testnet-rpc.publicnode.com, προκειμένου να σταματήσουν το βήμα ερωτήματος συμβολαίου πριν τον εκτέλεση οποιουδήποτε ωφέλιμου φορτίου.

Η απενεργοποίηση της υπηρεσίας WebClient σε Windows συστήματα που δεν απαιτούν WebDAV μπορεί να ισχυραίνει την προστασία κατά των απομακρυσμένων μηχανισμών παράδοσης DLL. Πολιτικές διαχείρισης προγράμματος περιήγησης που περιορίζουν την πρόσβαση στο πρόχειρο θα μπορούν να προλαμβάνουν το βήμα ClickFix προτού το θύμα εκτελέσει την εισαγόμενη εντολή.

Η εκπαίδευση των χρηστών σχετικά με τις ψεύτικες επικάλυψεις CAPTCHA και ClickFix είναι η καλύτερη άμυνα, δεδομένου ότι η αλυσίδα της μόλυνσης απαιτεί μόνο μία σκόπιμη ενέργεια από τον χρήστη.

Δείκτες Συμβιβασμού (IoCs):

Σημείωση: Οι διευθύνσεις IP και οι τομείς είναι σκόπιμα αλλοιωμένοι (π.χ. [.]) για την αποφυγή τυχαίας επίλυσης ή υπερσύνδεσης. Re-fang μόνο σε ελεγχόμενες πλατφόρμες πληροφοριών απειλών όπως το MISP, το VirusTotal ή το SIEM σας.