Más de 5.400 sitios comprometidos distribuyen cargas ClickFix almacenadas en blockchain

Más de 5.400 sitios web comprometidos, principalmente basados en WordPress y PrestaShop, están siendo utilizados para distribuir cargas ClickFix almacenadas en contratos inteligentes de BNB Smart Chain (BSC). La campaña fue identificada durante los últimos meses y el método inicial de compromiso sigue sin determinarse.

Según Netskope, los atacantes inyectan en cada sitio un script que obtiene la siguiente fase desde un contrato inteligente a través de un endpoint de BSC Testnet. Esta técnica, conocida como EtherHiding, permite alojar código malicioso o datos de configuración en blockchain y dificulta la retirada de la infraestructura.

La cadena de ataque muestra a los visitantes un señuelo ClickFix con un CAPTCHA falso que les pide abrir el cuadro Ejecutar de Windows y pegar un comando de PowerShell. La acción descarga y ejecuta la carga final en el equipo. Al estar almacenado en un contrato inteligente, el contenido puede modificarse en cualquier momento.

Netskope observó que el actor sustituyó posteriormente la carga ClickFix por un stager basado en canales de datos WebRTC. Esta variante crea un canal cifrado encubierto con el atacante y ejecuta el código recibido directamente en la memoria del navegador, sin guardarlo en disco.

La operación utiliza más de 300 sitios infectados cada día. La telemetría registró casi 400 sitios contactando diariamente con los endpoints RPC de BSC Testnet en agosto, con un máximo histórico de 536. Netskope recomienda bloquear el conjunto completo de endpoints RPC de BSC Testnet y vigilar tráfico UDP no web asociado a WebRTC.

Fuente: BleepingComputer. 5 de septiembre de 2026.