Netskope нашла цепочку ClickFix с payload в блокчейне и Amatera

Netskope Threat Labs разобрала цепочку атак, в которой вредоносный код для ClickFix хранится в смарт-контракте на Base, а завершающей нагрузкой выступает Amatera. Кампания бьёт по скомпрометированным WordPress-сайтам и использует сервис-воркер в браузере, чтобы переживать очистку на стороне сервера. По данным Netskope, исследователи впервые увидели связку, где service worker получает payload не с обычного сервера, а прямо из смарт-контракта. В

заражённом WordPress-сайте злоумышленники размещают rogue must-use plugin, который автоматически загружается на каждый запрос и регистрирует сервис-воркер у посетителя. Дальше цепочка работает в браузере. Сервис-воркер удаляет заголовок Content-Security-Policy, внедряет скрипт и подсовывает фальшивую reCAPTCHA с

инструкцией открыть окно Windows Run и вставить команду. Для пользователей Windows в буфере оказывается команда mshta с переходом на stage-2 хост, а для macOS показывается безвредная заглушка. Сценарий прячет себя от администратора заражённого сайта. Воркер не вмешивается, если посетитель вошёл в WordPress, находится на страницах админки или использует специальный тестовый cookie. Вредоносный код демонстрируют в основном обычным гостям, а не тем, кто способен заметить и убрать компрометацию.

Источник изображения: bleepingcomputer Цепочка атак ClickFix После клика по поддельной проверке браузер загружает ethers.js, подключается к Base и читает смарт-контракт по адресу 0x58460d0b3d4d6b03761c89120393c0c676676496. Контракт хранит HTML для

lure-страницы и работает как реестр payload и скриптов. Netskope относит такой подход к EtherHiding: вредоносный код лежит не на скомпрометированном сайте, а в блокчейне, где его можно переписать без замены файлов на сервере. Дальше начинается классический ClickFix. Пользователю предлагают вручную выполнить команду, и этим убирают из цепочки привычные для защитников точки контроля вроде

загрузки файла или вложения. В исследованной версии команда ведёт к MP3 и HTA-полифилу, который запускает mshta, а затем создаёт скрытую задачу планировщика и поднимает PowerShell. Следующий этап уже живёт в памяти. PowerShell обходит Constrained Language Mode, подменяет amsiContext на 0x41414141, собирает сведения о хосте и передаёт следующую стадию через стандартный ввод cmd.exe. После этого в цепочке

появляется загрузчик Emmenhtal, который берёт payload с изображения на легитимном CDN, а затем подгружает Amatera как reflective loader без записи на диск. Источник изображения: bleepingcomputer Финальная нагрузка определяется как Amatera, которую Proofpoint связывает с переименованным ACR Stealer. Она выдаёт себя за WPA.exe, связывается с gw.proxyvector[.]cc и использует DNS-over-HTTPS через

dns.google и cloudflare-dns.com. По данным Netskope, это позволяет прятать C2-обращения внутри зашифрованного DNS-трафика и усложняет наблюдение за тем, что делает стейлер. Почему цепочка держится Netskope отдельно отмечает, что в этой кампании злоумышленники собрали вместе несколько техник, которые сами по себе известны, но редко встречаются в одной связке. Здесь есть постоянство через сервис-воркер, доставка через блокчейн,

запуск по схеме paste-and-run, файл-полифилл, подмена AMSI, загрузка через стеганографию и запуск без следов на диске. В результате защитникам почти нечего хэшировать или изымать. У кампании есть и вторая ветка доставки. Помимо сервис-воркера, тот же rogue plugin внедряет inline-конфигурацию, которую читает runtime loader. Обе ветки используют

один и тот же контракт Base, один beacon ultraspeed[.]pro/collect и одинаковую логику исполнения; исследователи свели их к одной операции. В конце отчёта Netskope пишет, что защиту проще всего строить вокруг ранних этапов цепочки: блокировать beacon и stage-2 хост на сети, удалять сервис-воркеры при ремедиации и отслеживать обращения к смарт-контракту. Оператор может менять payload прямо в блокчейне, поэтому этот контракт остаётся точкой, по которой можно заметить

следующую итерацию атаки.

Netskope нашла цепочку ClickFix с payload в блокчейне и Amatera

Сообщает itzine.ru

Новость из рубрики: Технологии и Hi-Tech

Поделиться новостью: Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

Топ Новости Недели

02:00, 20 Апр Google расширяет цепочку поставщиков ИИ-чипов: в переговорах с Marvell Technology о новом TPU для инференса Компания обсуждает кастом ИИ-чипов на фоне смещения рынка в сторону инференса и роста ASIC-сегмента до $118 млрд к 2033 годуGoogle ведёт переговоры с...

07:00, 16 Июн ФАС нашла тарифные нарушения в 65 регионах Проверки тарифов на тепло и воду по стране вскрыли нарушения в 65 регионах, сообщила Федеральная антимонопольная служба. Проверки с начала 2026 года ...

03:00, 13 Май Нейросеть нашла астероид, который мог быть кораблём пришельцев В астрономическом сообществе бурно обсуждают статью, вышедшую в журнале The Astronomical Journal. Группа учёных из проекта Pan-STARRS, нацеленного на...

14:00, 16 Май Система PoLARIS за 12 часов нашла замену токсичным квантовым точкам Автономная лаборатория под управлением искусственного интеллекта, разработанная в Университете штата Северная Каролина, за 12 часов сделала то, на чт...

01:00, 20 Авг Скупаю на Ozon лейкопластырь, но не для аптечки: нашла 10 хитрых применений дома и в машине фото Progorod58 Обычный пластырь может пригодиться не только при порезах. На Ozon набор из 100 бактерицидных пластырей размером 72×19 мм сейчас встре...

08:00, 28 Авг Резинки с Ozon скупаю пачками, но не для волос: нашла им 10 применений — от кухни до теплицы фото Progorod58 Пачка из ста текстильных резинок за 96 рублей дома заканчивается неожиданно быстро. На волосы они могут вообще не попасть: одна уходи...

19:00, 04 Июл Google нашла гениальное применение старым смартфонам. Их можно не выбрасывать и не уничтожать! Фото Magnific Компания Google совместно с исследователями Калифорнийского университета в Сан-Диего (UCSD) разрабатывает проект Phone Cluster Computin...

05:00, 27 Июл Ковер на полу уже прошлый век: нашла 5 лучших альтернатив на Ozon - удобно, дешево и красиво Фото Progorod58 Огромный ворсовый ковер больше не обязателен. Вместо одного тяжелого пылесборника можно закрыть только нужные зоны — у кровати, диван...

05:00, 27 Июл Нашла в Магните грузинский сыр для гурманов: цена скромная, а сливочно-солёный вкус — на высоте Фото Progorod58 Любимый сыр исчез из доставки, пришлось искать замену по составу. Сулугуни собственной марки «Магнита» выглядел скромно, но после пер...

05:00, 30 Авг Силиконовые коврики с Ozon беру не для выпечки: нашла 7 применений — от кухни до дачного сарая Фото Progorod58 На Ozon такие коврики часто называют силиконовыми, но у этого конкретного варианта в характеристиках указан тефлон и целлюлоза. Разме...

16:00, 18 Апр Кенийская женщина нашла способ переработать пластик в кирпичи, которые прочнее бетона Кенийская предпринимательница, уставшая от бездействия правительства в отношении загрязнения пластиком, сама нашла решение проблемы, создав кирпичи и...

15:00, 01 Июл Вместо одной жидкости — две: нейросеть нашла невероятное объяснения аномалиям обыкновенной воды Вода кажется нам простейшей субстанцией. Налил из-под крана — выпил. Но физики три десятилетия ломали головы над странностями этой жидкости. Почему л...

08:00, 29 Июн Вьетнамский хит в Фикс Прайсе за 99 рублей: нашла необычный зеленый чай матча - вкус, как у дорогого фото Progorod58 В Fix Price нашла растворимый матча латте из Вьетнама всего за 99 рублей. Рассказываю, стоит ли покупать бюджетную новинку и чем она ...

09:00, 26 Июн Кошмарный финал отменяется: Земля нашла лазейку и выскользнет из смертельных объятий Солнца Представьте, что ваше домашнее уютное Солнце внезапно решило превратиться в капризного и очень толстого соседа. Через пять миллиардов лет у нашей зве...

04:00, 02 Авг "Больной человек Европы" оживает: Германия нашла новый путь к росту после кризиса Германская экономика, долгое время считавшаяся "больным человеком Европы", демонстрирует признаки циклического оживления. По данным Bloomberg, пересм...

17:00, 27 Май 80-летняя гипотеза Эрдёша пала под натиском ИИ — машина нашла лазейку, которую люди не видели Математический мир вздрогнул: нейросеть от OpenAI выбила почву из-под ног у сторонников классической геометрии. Машина нашла изъян в гипотезе Пала Эр...

11:00, 14 Авг В августе скупаю губки в Fix Price пачками, но не для мытья посуды: нашла 5 применений для дома и дачи фото Progorod58 Эти три губки BonHome из Fix Price лежат у меня не у раковины, а в хозяйственной коробке. Потому что посуду ими мыть — последнее дело...

20:00, 11 Июл Железная пыль заменит сложную логистику: Европа нашла новое топливо для своих электросетей Забудьте про водородные танкеры и ядерные батарейки. Ученые из Карлсруэского технологического института нашли способ превратить обычную ржавчину в ак...

20:00, 02 Май Нашла на Озоне лаванду для стирки — дешевле только даром: пахнет волшебно, но есть нюанс freepik.com Запах лаванды, который не отличить от сухоцвета, и цена как за проезд в автобусе — такие капсулы я откопала на Ozon. 35 штук PerfEco 3в1 ...

21:00, 27 Июл В Фикс Прайсе нашла гламурное средство для уборки с фиолетовой пеной - не воняет и отмывает до блеска фото Progorod58 Спрей Master Effect «Антиналёт» привлекает сиреневой пеной, но цвет оказался не единственным достоинством. Средство легко распределяе...

17:00, 08 Авг Нашла в Светофоре бульонницу с ушками, но не для супа: на участке она работает за троих — все лето не нарадуюсь этой находке фото Progorod58 На полке она выглядит как обычная бульонница с двумя «ушками», а на даче быстро выясняется, что суп в неё наливать совсем не обязател...

18:00, 15 Июл На Ozon нашла обалденные китайские конфеты-зёрна за копейки: 2 штуки заменяют целую чашку кофе фото Progorod58 Кофе варить необязательно: две миниатюрные конфеты дают яркий вкус эспрессо и долгое послевкусие. На Ozon упаковка таких «зёрен» обош...

05:00, 27 Июл Не покупайте дорогой кофе: в "Фикс Прайс" нашла альтернативу для гурманов - запах арабики стоит на всю квартиру Прогород Цены на растворимый кофе давно перестали быть смешными. Даже самые простые пачки подбираются к отметке, за которую раньше можно было взять п...

15:00, 05 Июн Зажимы от пакетов не выбрасываю, а храню в коробочке на кухне - нашла им полезное применение, выручают каждый день Фото редакции "Pro Город Пенза"Эти крошечные пластиковые скобки зачастую летят в мусор. И очень зря. На самом деле их можно с пользой применять дома ...

22:00, 20 Июл Не покупайте дорогой профлист: нашла на Ozon бюджетную альтернативу - проста в сборке и выглядит дороже цены фото Progorod58 Чтобы закрыть старую рабицу, стенку беседки или неприглядную хозяйственную постройку, необязательно полностью менять ограждение. В ка...

13:00, 30 Авг Нашла в "Магните" королевский чай в богатой упаковке: 120 пакетиков внутри — беру домой, маме и еще одну коробку про запас Фото Progorod58 Такие коробки обычно сначала цепляют именно видом. Стоит на полке большая, нарядная, почти подарочная — кажется, что и цена сейчас бу...

11:00, 05 Июл Искала медь, а нашла золото: элитные пельмени из Магнита за 300 рублей — чистый состав и с мясным соком внутри фото Progorod58 Пельмени за 309 рублей по акции оказались не «дежурной пачкой на ужин», а редкой находкой: состав короткий, мясо на первом месте. Ино...

00:00, 02 Июл Зажимы от пакетов больше не выбрасываю, а складываю в контейнер и храню - нашла им полезное применение, выручают каждый день фото Progorod58 Маленькие металлические зажимы от упаковок хлеба и овощей могут заменить десятки бытовых мелочей. Собираю их весь год — и постоянно н...

18:00, 04 Авг Больше тяпкой на даче не машу: нашла на Ozon совсем другой инструмент - сэкономил мне часы дачной работы фото Progorod58 Обычной тяпкой приходится то рубить землю, то наклоняться за каждым упрямым сорняком. У маятникового плоскореза принцип другой: рабоч...

23:00, 17 Авг Скупаю на «Авито» хозяйственное мыло ГОСТ 72: нашла дома и на даче 5 полезных применений — лучше дорогой магазинной химии фото Progorod58 Хозяйственное мыло многие держат исключительно возле тазика с бельём. Между тем самый обычный брусок пригодится и в квартире, и на да...

22:00, 24 Апр В Фикс Прайсе много ерунды, но я нашла настоящий бриллиант - растворимы кофе для гурманов: вкус восхитительный и стоит копейки Прогород За решётками стеллажей с безделушками и сомнительным шоколадом в Fix Price иногда прячутся продукты, за которые в супермаркетах просят вдвое...

01:00, 23 Июл Скупаю на Ozon метрами гибкую пластиковую ленту, но не для клумб: всё лето не нарадуюсь своей хитрости — нашла 3 применения для дома и дачи фото Progorod58 Садовый бордюр обычно покупают, чтобы красиво обвести цветник. Но три метра гибкого пластика с колышками способны решить куда больше ...

00:00, 02 Сен Зимой от окон больше не сифонит: на Ozon нашла «второе стекло» — клею своими руками и дую феном, в квартире стало гораздо теплее фото Progorod58 Пузырчатая плёнка спасает от холодного окна, но вид у неё, мягко говоря, на любителя. Стекло мутное, улицы почти не видно, света в ко...

04:00, 14 Май Windows будет меньше глючить: Microsoft нашла способ быстро чинить Windows после установки проблемных драйверов Откат драйверов к стабильной версии будет осуществляться автоматическиMicrosoft анонсировала новую функцию для Windows — Cloud-Initiated Driver Recov...