EtherHiding + WebRTC : campagne malveillante via blockchain BSC testnet sur 5 400 sites

🔍 Contexte

Publié le 3 septembre 2026 par Netskope Threat Labs (auteur : John Carlo Marquez), cet article présente l’analyse technique d’une campagne malveillante en cours exploitant la technique EtherHiding — l’utilisation de smart contracts blockchain comme stockage de payload résistant aux takedowns.

🌐 Périmètre de la campagne

• Plus de 5 400 sites compromis identifiés dans la fenêtre d’observation
• Plus de 2 200 organisations touchées dans le monde
• Plusieurs centaines de sites actifs chaque jour, avec une tendance à la hausse depuis le printemps
• Plus de 300 sites actifs chaque jour ouvrable
• Victimes : petites entreprises (cliniques, plombiers, boutiques e-commerce), sans lien géographique, sectoriel ou de propriété commun
• CMS principalement : WordPress, parfois PrestaShop

⛓️ Mécanisme de livraison (chaîne d’attaque)

1. Script injecté (inline obfusqué ou faux package) sur le site compromis
2. Appel JSON-RPC eth_call vers un smart contract sur le BSC testnet (BNB Smart Chain testnet)
3. Récupération d’un second script stocké on-chain et exécuté dans le navigateur
4. Affichage d’un overlay ClickFix (faux CAPTCHA) invitant la victime à ouvrir une boîte Run et coller une commande
5. La commande collée est un downloader PowerShell qui télécharge et exécute le payload final

Le payload final est variable : l’opérateur peut modifier le contenu du contrat pour servir différents payloads à différentes victimes.

🔄 Variante WebRTC (nouveau vecteur C2)

Une variante distincte remplace l’overlay ClickFix par un stager JavaScript ouvrant un canal de données WebRTC covert :

• Le script crée une connexion peer et génère une offre de session WebRTC standard
• Au lieu d’envoyer l’offre à un serveur de signalisation, il forge lui-même la réponse (hand-writes the answer) et la réinjecte dans la connexion
• Toutes les valeurs sont hardcodées : IP du C2 (construite depuis des entiers séparés pour éviter toute détection de chaîne), port UDP, mot de passe ICE, empreinte DTLS
• Le canal chiffré s’ouvre dès le premier paquet, sans échange de certificat ni trafic de signalisation observable
• Le C2 stream son code via le canal ; le stager bufferise les messages et exécute le code assemblé via eval (ou en l’ajoutant au DOM)
• Le nonce CSP est volé d’un script légitime de la page pour contourner la Content Security Policy
• Rien n’est écrit sur le disque ; le nœud script est supprimé immédiatement après exécution

🎯 Intérêt du BSC testnet pour les attaquants

• Le testnet est une copie fonctionnelle du mainnet BSC mais avec du BNB sans valeur monétaire, distribué gratuitement
• Les attaquants bénéficient du même hébergement de smart contracts et de la même résistance aux takedowns qu’en mainnet, sans coût
• Un seul contrat permet de mettre à jour le payload pour tous les sites compromis simultanément

📄 Type d’article

Il s’agit d’une analyse technique publiée par un éditeur de sécurité (Netskope Threat Labs), dont le but principal est de documenter les mécanismes d’une campagne active combinant blockchain dead drop et C2 WebRTC furtif, et de partager les indicateurs de compromission associés.

🧠 TTPs et IOCs détectés

TTP

• T1189 — Drive-by Compromise (Initial Access)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1102 — Web Service (Command and Control)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1071 — Application Layer Protocol (Command and Control)
• T1568 — Dynamic Resolution (Command and Control)
• T1105 — Ingress Tool Transfer (Command and Control)

Malware / Outils

• ClickFix (other)
• WebRTC data-channel stager (loader)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

• ⬜ netskope.com — source non référencée (0pts)
• ✅ 9255 chars — texte complet (fulltext extrait) (15pts)
• ⬜ aucun IOC extrait (0pts)
• ⬜ pas d’IOC à vérifier (0pts)
• ✅ 10 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.netskope.com/blog/malware-on-the-blockchain-an-ongoing-campaigns-new-webrtc-twist