https://cyberveille.ch/tags/webrtc-c2/ Recent content in WebRTC C2 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-etherhiding-webrtc-campagne-malveillante-via-blockchain-bsc-testnet-sur-5-400-sites/ Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-etherhiding-webrtc-campagne-malveillante-via-blockchain-bsc-testnet-sur-5-400-sites/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 3 septembre 2026 par Netskope Threat Labs (auteur : John Carlo Marquez), cet article présente l&rsquo;analyse technique d&rsquo;une campagne malveillante en cours exploitant la technique <strong>EtherHiding</strong> — l&rsquo;utilisation de smart contracts blockchain comme stockage de payload résistant aux takedowns.</p> <h2 id="-périmètre-de-la-campagne">🌐 Périmètre de la campagne</h2> <ul> <li>Plus de <strong>5 400 sites compromis</strong> identifiés dans la fenêtre d&rsquo;observation</li> <li>Plus de <strong>2 200 organisations</strong> touchées dans le monde</li> <li>Plusieurs centaines de sites actifs chaque jour, avec une tendance à la hausse depuis le printemps</li> <li>Plus de <strong>300 sites actifs chaque jour ouvrable</strong></li> <li>Victimes : petites entreprises (cliniques, plombiers, boutiques e-commerce), sans lien géographique, sectoriel ou de propriété commun</li> <li>CMS principalement : <strong>WordPress</strong>, parfois <strong>PrestaShop</strong></li> </ul> <h2 id="-mécanisme-de-livraison-chaîne-dattaque">⛓️ Mécanisme de livraison (chaîne d&rsquo;attaque)</h2> <ol> <li><strong>Script injecté</strong> (inline obfusqué ou faux package) sur le site compromis</li> <li><strong>Appel JSON-RPC <code>eth_call</code></strong> vers un smart contract sur le <strong>BSC testnet</strong> (BNB Smart Chain testnet)</li> <li>Récupération d&rsquo;un <strong>second script stocké on-chain</strong> et exécuté dans le navigateur</li> <li>Affichage d&rsquo;un <strong>overlay ClickFix</strong> (faux CAPTCHA) invitant la victime à ouvrir une boîte Run et coller une commande</li> <li>La commande collée est un <strong>downloader PowerShell</strong> qui télécharge et exécute le payload final</li> </ol> <p>Le payload final est variable : l&rsquo;opérateur peut modifier le contenu du contrat pour servir différents payloads à différentes victimes.</p>