ChainScript : un RAT Node.js utilisant la blockchain Polygon pour sa découverte C2

🔍 Contexte

Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix.

🎯 Vecteur d’infection et chaîne d’exécution

L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI :

• Déploie son propre runtime Node.js embarqué
• Lance l’agent JavaScript via des étapes PowerShell et VBScript cachées (._scatter.ps1, ._agent.vbs)
• S’installe dans le contexte utilisateur sans élévation de privilèges (ALLUSERS=2, MSIINSTALLPERUSER=1)
• Disperse ses composants dans des chemins imitant des répertoires Microsoft légitimes

🧬 Persistance

ChainScript établit la persistance via :

• Une tâche planifiée (ComponentTask33Agent) au logon utilisateur
• Fallback sur la clé de registre HKCU\Software\Microsoft\Windows\CurrentVersion\Run

🔗 Découverte C2 via blockchain (EtherHiding)

ChainScript utilise une technique de type EtherHiding : il interroge un smart contract Polygon (adresse 0xf9099d0d747368cce8C10226CC9AF2bFD4DDbCF4, chain ID 137) via eth_call avec le sélecteur de fonction 0x4ab7874e pour résoudre dynamiquement l’URL du panneau WebSocket actif. Le résultat est mis en cache 5 minutes. Cette architecture permet à l’opérateur de faire pivoter l’infrastructure C2 sans modifier ni redistribuer l’implant.

🛠️ Capacités du RAT

L’agent app\src\index.js implémente un dispatcher de commandes structuré :

• Shells interactifs CMD et PowerShell (via node-pty)
• Gestion de fichiers (énumération, lecture, écriture, suppression, transfert Base64)
• Captures d’écran (via SearchTrustedRuntimeSvc.exe / CaptureScreen.exe)
• Déploiement de payloads (MSI, PowerShell, CMD)
• Découverte de wallets crypto (inventaire des extensions navigateur et wallets desktop)
• Exécution JavaScript distante (via eval et modules distants)
• Mise à jour et nettoyage de l’agent

🏷️ Multiples builds identifiés

Tous partagent le même agent sous-jacent (._agent.vbs, app\src\index.js, connect-delay-state.json).

🌐 Infrastructure observée

Lors de l’analyse protocolaire en direct, APG a observé une rotation d’infrastructure : le contrat Polygon a d’abord résolu shift-api-control[.]com:3847, puis après réinitialisation de session, a retourné bedotiq[.]net:3854. Le contrat du build ComponentTask33 a été déployé seulement 23 secondes avant la création du MSI (24 août 2026), suggérant une automatisation du pipeline de build.

📄 Type d’article

Il s’agit d’une analyse technique approfondie publiée par un éditeur de sécurité, visant à documenter un nouveau malware, ses TTPs, ses IOCs et son architecture C2 innovante basée sur la blockchain.

🧠 TTPs et IOCs détectés

TTP

• T1566 — Phishing (Initial Access)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1218.007 — System Binary Proxy Execution: Msiexec (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
• T1571 — Non-Standard Port (Command and Control)
• T1102 — Web Service (Command and Control)
• T1095 — Non-Application Layer Protocol (Command and Control)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1113 — Screen Capture (Collection)
• T1005 — Data from Local System (Collection)
• T1083 — File and Directory Discovery (Discovery)
• T1082 — System Information Discovery (Discovery)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)

IOC

• IPv4 : 176.65.144.127 — AbuseIPDB · VT · ThreatFox
• IPv4 : 176.65.144.40 — AbuseIPDB · VT · ThreatFox
• Domaines : api-configuard.com — VT · URLhaus · ThreatFox
• Domaines : kerosand.net — VT · URLhaus · ThreatFox
• Domaines : shift-api-control.com — VT · URLhaus · ThreatFox
• Domaines : moweros.net — VT · URLhaus · ThreatFox
• Domaines : bedotiq.net — VT · URLhaus · ThreatFox
• Domaines : giperon.net — VT · URLhaus · ThreatFox
• SHA256 : 20a9e297220fe4cb9f939eaa82582c6e9a8f6dd4424635206dec08fa1986b8fa — VT · MalwareBazaar
• SHA256 : 6e07d2de3618bb92265248653361ff39c63c0cfba2f4aa2538b3128fa9ce3a50 — VT · MalwareBazaar
• SHA256 : bad0600a850436154f8d7b6f7a191dc45bd136897780cd032b336cb4b358d241 — VT · MalwareBazaar
• SHA256 : 496c202abf53984164f5f319a72b02c8e06016d0f35681353ef07db8e6d1b31f9fa80577b8 — VT · MalwareBazaar
• SHA256 : b3cb9c3062e5e1986cc9fe0c26eed023f7d430dfa5c60169c15c45 — VT · MalwareBazaar
• SHA256 : 7969ccaf1db750bc3b02d51626d6916ecbd0c0cf2f7de3c7bc0be240f5f2978d — VT · MalwareBazaar
• Fichiers : ComponentTask33-4d14e6ac.msi
• Fichiers : UpdateDigital-0c3c5204.msi
• Fichiers : HostShared-1a5b7e17.msi
• Fichiers : OrchidViolet66-5595bc08.msi
• Fichiers : ProfileQuickHost.exe
• Fichiers : SearchTrustedRuntimeSvc.exe
• Fichiers : ._agent.vbs
• Fichiers : ._scatter.ps1
• Fichiers : StreamServiceSharedBridge.ps1
• Fichiers : ManagerPrivateLoader.cmd
• Fichiers : HiddenVirtualSilentLoader.dat
• Fichiers : connect-delay-state.json
• Chemins : %LOCALAPPDATA%\ComponentTask33
• Chemins : %LOCALAPPDATA%\Microsoft\Windows\Libraries\QuickSystemSearch
• Chemins : %APPDATA%\Microsoft\Windows\Themes\SettingsHostStandard58
• Chemins : %LOCALAPPDATA%\Microsoft\Windows\INetCache\FilterManager
• Chemins : %LOCALAPPDATA%\Microsoft\Windows\Shell\RemoteTempPrimary
• Chemins : app\src\index.js

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ChainScript (rat)
• node-pty (tool)

🟢 Indice de vérification factuelle : 90/100 (haute)

• ✅ blackpointcyber.com — source reconnue (Rösti community) (20pts)
• ✅ 27567 chars — texte complet (fulltext extrait) (15pts)
• ✅ 32 IOCs dont des hashes (15pts)
• ✅ 6/8 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 20 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 176.65.144.127 (ip) → AbuseIPDB (100% confiance, 33 signalements) + VT (13/89 détections) + ThreatFox (Stealc)
• 20a9e297220fe4cb… (sha256) → VT (9/75 détections) + ThreatFox (Unknown Loader)
• 6e07d2de3618bb92… (sha256) → VT (10/75 détections)
• api-configuard.com (domain) → VT (12/89 détections) + ThreatFox (Unknown Loader)
• kerosand.net (domain) → VT (8/89 détections) + ThreatFox (Unknown malware)

🔗 Source originale : https://blackpointcyber.com/blog/chainscript-tracing-a-nodejs-rat-across-the-blockchain/