Кибератака через BNB Smart Chain: более 5400 взломанных сайтов доставляют ClickFix‑пейлоады

Компания Netskope объявила о выявлении масштабной вредоносной кампании, в которой более 5400 взломанных веб‑ресурсов распространяют специальный ClickFix‑пейлоад. Сам вредоносный код хранится в смарт‑контрактах сети BNB Smart Chain, что делает традиционные методы блокировки практически бесполезными.

Большинство скомпрометированных сайтов работают на платформах WordPress и PrestaShop и принадлежат небольшим компаниям. Как злоумышленники получили первоначальный доступ, пока неизвестно, но на каждый ресурс они внедряют скрипт, который запрашивает данные у RPC‑эндпоинтов BSC Testnet и получает следующую стадию атаки.

Техника, получившая название EtherHiding, подразумевает размещение вредоносных конфигураций в публичных блокчейнах. Благодаря неизменяемости записей и возможности выполнять только read‑only вызовы, код остаётся анонимным, устойчивым к блокировке и может обновляться без следов в истории транзакций.

Взломанный сайт показывает пользователю поддельную CAPTCHA и предлагает вставить в окно “Выполнить” PowerShell‑команду. При её выполнении загружается финальный ClickFix‑пейлоад, который в последней версии заменён на стейджер, использующий зашифрованный WebRTC‑канал без обычного хендшейка. Стейджер получает JavaScript‑код с фиксированного C2‑адреса, буферизует его и исполняет в памяти браузера через элемент head, не оставляя файлов на диске жертвы.

За период наблюдения исследователи зафиксировали более 5400 заражённых сайтов, в августе 2026 года число новых компромиссов достигало почти 400 в сутки, а пик составил 536. В качестве мер защиты специалисты советуют блокировать все RPC‑эндпоинты BSC Testnet и мониторить необычный UDP‑трафик, связанный с WebRTC.