5,400 ஹேக் செய்யப்பட்ட தளங்கள் பிளாக்செயினில் சேமிக்கப்பட்ட கிளிக்ஃபிக்ஸ் பேலோடுகளை வழங்குகின்றன

BNB ஸ்மார்ட் செயினில் (BSC) ஸ்மார்ட் கான்ட்ராக்ட்களில் சேமிக்கப்பட்ட ClickFix பேலோடுகளை வழங்க, பாரிய சைபர் செயல்பாடு ஆயிரக்கணக்கான சிறு வணிக வலைத்தளங்களைப் பயன்படுத்துகிறது.

கடந்த மாதங்களில், ஆராய்ச்சியாளர்கள் 5,400 க்கும் மேற்பட்ட ஹேக் செய்யப்பட்ட வலைத்தளங்களை அடையாளம் கண்டுள்ளனர், அவற்றில் பெரும்பாலானவை வேர்ட்பிரஸ் மற்றும் ப்ரெஸ்டாஷாப்பில் கட்டமைக்கப்பட்டுள்ளன.

ஆரம்ப பேச்சுவார்த்தை முறை தெரியவில்லை, ஆனால் ஒவ்வொரு தளத்திலும் ஒரு ஸ்கிரிப்ட் உட்பொதிக்கப்பட்டுள்ளது, இது ஈதர்ஹைடிங் நுட்பமான BSC டெஸ்ட்நெட் எண்ட்பாயிண்டில் உள்ள ஸ்மார்ட் ஒப்பந்தத்தின் அடுத்த படியை எடுக்கும்.

கிளவுட் செக்யூரிட்டி பிளாட்ஃபார்ம் நெட்ஸ்கோப்பின் ஆராய்ச்சியாளர்கள், பிஎஸ்சி டெஸ்ட்நெட் டெவலப்பர்களுக்காக வடிவமைக்கப்பட்டுள்ளது என்றும், மெயின்நெட், புரொடக்ஷன் பிளாக்செயின் போன்ற வேலைகள் இலவசம் என்றும் விளக்குகிறார்கள்.

பிளாக்செயின் ஸ்மார்ட் ஒப்பந்தங்களில் தீங்கிழைக்கும் குறியீடு அல்லது உள்ளமைவுத் தரவைச் சேமிக்க அச்சுறுத்தல் நடிகர்கள் EtherHiding நுட்பத்தைப் பயன்படுத்துகின்றனர், இது ஒரு வலுவான உள்கட்டமைப்பை உருவாக்குகிறது.

Netskope ஆல் கவனிக்கப்பட்ட விநியோகச் சங்கிலியில், ஸ்கிரிப்ட் ஒரு கிளிக்ஃபிக்ஸ் வழிகாட்டியைக் காட்டுகிறது, அது போலி CAPTCHA ஐக் காண்பிக்கும் மற்றும் Windows Run உரையாடலைத் திறந்து பவர்ஷெல் கட்டளையை ஒட்டுமாறு பார்வையாளர்களுக்கு அறிவுறுத்துகிறது.

இது கணினியில் இறுதி சுமையை பதிவிறக்கம் செய்து இயக்கும். தாக்குபவர் பேலோடை ஸ்மார்ட் ஒப்பந்தத்தில் சேமித்து வைப்பதால், அவர்கள் அதை எந்த நேரத்திலும் மாற்றலாம்.

பின்னர் பிரச்சாரத்தில், அச்சுறுத்தல் நடிகர் ஒரு WebRTC சேனல் ஸ்டேஜருடன் ஸ்மார்ட் ஒப்பந்தத்தில் கிளிக்ஃபிக்ஸ் பேலோடை மாற்றினார் என்று ஆராய்ச்சியாளர்கள் குறிப்பிடுகின்றனர்.

புதிய பதிப்பில், பேலோட் தாக்குபவர்களுக்கு மறைகுறியாக்கப்பட்ட ரகசிய சேனலை நிறுவுகிறது மற்றும் பெறப்பட்ட குறியீட்டை செயல்படுத்துகிறது.

“ஸ்கிரிப்ட் ஒரு பியர் இணைப்பு மற்றும் தரவு சேனலை உருவாக்குகிறது, பின்னர் ஒரு சாதாரண WebRTC ஹேண்ட்ஷேக்கைப் போலவே ஒரு அமர்வு விளக்க முன்மொழிவை உருவாக்குகிறது” என்று நெட்ஸ்கோப் கூறியது.

“ஆனால் இந்த முன்மொழிவை எல்லா இடங்களிலும் அனுப்புவதற்கும் உண்மையான பதிலுக்காகக் காத்திருப்பதற்கும் பதிலாக, அது அவர் கையால் பதில் எழுதுகிறார் மற்றும் அதை நேரடியாக இணைப்பிற்கு திருப்பி அனுப்புகிறது. எனவே கைகுலுக்கல் எதுவும் நடக்காது, ஆனால் தரவு சேனல் இன்னும் இணைய தாக்குதலுக்கு திறந்தே உள்ளது.”

ஹார்ட்கோட் செய்யப்பட்ட கட்டளை மற்றும் கட்டுப்பாட்டு முகவரி (C2) இலிருந்து ஸ்டேஜர் ஜாவாஸ்கிரிப்ட் குறியீட்டைப் பெறுகிறது, அதை இடையகப்படுத்தி, சேனல் மூடப்படும்போது அல்லது பத்து வினாடிகளுக்குப் பிறகு அதைச் செயல்படுத்துகிறது.

பெறப்பட்ட குறியீடு உலாவியின் நினைவகத்தில் சேமிக்கப்பட்டு, DOM தலைப்பில் சேர்ப்பதன் மூலம் வட்டில் சேமிக்காமல் மாறும் வகையில் செயல்படுத்தப்படும்.

ஒவ்வொரு நாளும் 300க்கும் மேற்பட்ட பாதிக்கப்பட்ட இணையதளங்களை இந்த செயல்பாடு பயன்படுத்துவதாக Netskope எச்சரிக்கிறது. வசந்த காலத்தில் இருந்து, BSC டெஸ்ட்நெட் RPC இறுதிப்புள்ளிகளைத் தொடர்பு கொள்ளும் சமரசம் செய்யப்பட்ட தளங்களின் எண்ணிக்கை படிப்படியாக அதிகரித்து வருகிறது.

டெலிமெட்ரி தரவு, ஆகஸ்டில் ஒவ்வொரு நாளும் 400 இணையதளங்கள் எண்ட் பாயிண்ட் என்று அழைக்கப்படுகிறது, இது 536 ஆக இருந்தது.

பாதுகாப்பு ஆய்வாளர்கள் இங்கு வழங்கப்பட்டுள்ள BSC டெஸ்ட்நெட் RPC எண்ட்பாயிண்ட் பூல் முழுவதையும் தடுப்பவர்கள் மற்றும் WebRTC உடன் தொடர்புடைய இணையம் அல்லாத UDP டிராஃபிக்கைக் கண்காணிக்க வேண்டும் என்று பரிந்துரைக்கின்றனர்.