Lebih dari 5.400 Situs Diretas untuk Menyebarkan Payload ClickFix dari Blockchain
Sebuah operasi siber berskala besar memanfaatkan ribuan situs web bisnis kecil yang telah diretas untuk menyebarkan payload ClickFix yang disimpan di dalam blockchain.
Peneliti dari perusahaan keamanan cloud Netskope menemukan lebih dari 5.400 situs web yang telah dikompromikan dalam beberapa bulan terakhir. Sebagian besar situs tersebut dibangun menggunakan WordPress dan PrestaShop.
Yang membuat kampanye ini berbeda adalah cara pelaku menyimpan kode berbahaya. Alih-alih menempatkan seluruh payload pada server yang mudah ditutup, threat actor menyimpannya di smart contract pada BNB Smart Chain (BSC) Testnet.
Teknik tersebut dikenal sebagai EtherHiding dan dapat membuat infrastruktur malware jauh lebih sulit untuk dihentikan.
Ribuan Situs Kecil Menjadi Media Penyebaran
Metode awal yang digunakan untuk membobol ribuan situs tersebut masih belum diketahui. Setelah mendapatkan akses, pelaku menyisipkan script berbahaya ke halaman situs.
Script tersebut kemudian mengambil payload tahap berikutnya dari endpoint BSC Testnet.
BSC Testnet sendiri merupakan jaringan yang ditujukan bagi developer untuk melakukan pengujian aplikasi blockchain. Fungsinya serupa dengan mainnet, tetapi dapat digunakan tanpa biaya untuk kebutuhan pengembangan.
Kondisi tersebut dimanfaatkan pelaku untuk menyimpan kode atau konfigurasi berbahaya di dalam smart contract.
Dengan cara ini, blockchain berfungsi sebagai tempat penyimpanan payload yang relatif sulit untuk dihapus melalui metode takedown konvensional.
EtherHiding Membuat Infrastruktur Malware Lebih Tahan Lama
Teknik EtherHiding memungkinkan threat actor menyimpan data berbahaya di blockchain, kemudian situs yang telah diretas mengambil data tersebut saat korban mengunjunginya.
Keuntungan bagi penyerang adalah payload tidak harus disimpan pada server command-and-control tradisional yang dapat dengan mudah diidentifikasi dan diblokir.
Pelaku juga dapat mengubah payload yang berada di smart contract kapan saja. Artinya, script yang sudah ditanam pada ribuan situs tidak selalu harus diperbarui ketika threat actor ingin mengganti malware atau tahap serangan berikutnya.
Dalam kampanye yang diamati Netskope, mekanisme tersebut digunakan untuk mendistribusikan ClickFix.
Korban Diminta Menjalankan PowerShell
Ketika seseorang mengunjungi situs yang telah dikompromikan, script berbahaya menampilkan halaman jebakan ClickFix.
Tampilannya menggunakan CAPTCHA palsu untuk membuat instruksi terlihat seperti bagian dari proses verifikasi keamanan biasa.
Korban kemudian diarahkan untuk membuka Windows Run dialog dan menempelkan perintah PowerShell yang telah disiapkan pelaku.
Jika korban mengikuti instruksi tersebut, perintah akan mengunduh dan menjalankan payload tahap akhir pada komputer.
Metode ClickFix mengandalkan social engineering, bukan eksploitasi otomatis terhadap browser. Pengguna sendiri yang tanpa sadar menjalankan perintah berbahaya setelah diyakinkan bahwa langkah tersebut diperlukan untuk menyelesaikan CAPTCHA atau verifikasi.
Payload Kemudian Diganti dengan WebRTC Stager
Kampanye ini juga menunjukkan bagaimana pelaku terus mengubah teknik mereka.
Pada tahap berikutnya, Netskope menemukan bahwa threat actor mengganti payload ClickFix yang tersimpan di smart contract dengan WebRTC data-channel stager.
Varian baru tersebut membuat koneksi terenkripsi tersembunyi menuju infrastruktur penyerang dan kemudian menerima kode untuk dieksekusi.
Menariknya, mekanisme tersebut memanfaatkan WebRTC dengan cara yang tidak biasa.
Script membuat peer connection dan data channel, kemudian menghasilkan session description offer seperti proses handshake WebRTC normal. Namun, alih-alih mengirim offer tersebut dan menunggu respons, script membuat answer sendiri dan langsung memasukkannya kembali ke koneksi.
Teknik tersebut memungkinkan data channel dibuka tanpa melakukan handshake WebRTC normal dengan endpoint lain.
Kode JavaScript Dieksekusi Langsung di Memori
Stager tersebut menerima kode JavaScript dari alamat command-and-control (C2) yang telah ditentukan di dalam script.
Kode kemudian ditampung di memori browser dan dieksekusi secara dinamis.
Netskope mengatakan kode yang diterima tidak perlu disimpan sebagai file di disk. Script dapat menambahkan kode tersebut ke bagian head dari DOM (Document Object Model) sehingga kode kemudian dieksekusi langsung oleh browser.
Pendekatan seperti ini dapat menyulitkan sebagian mekanisme deteksi berbasis file karena payload tidak harus meninggalkan artefak berupa file malware tradisional pada sistem.
Lebih dari 300 Situs Terinfeksi Aktif Setiap Hari
Menurut Netskope, operasi tersebut menggunakan lebih dari 300 situs yang telah terinfeksi setiap hari.
Jumlah situs yang berkomunikasi dengan endpoint RPC BSC Testnet juga terus meningkat sejak musim semi 2026.
Data telemetry menunjukkan hampir 400 situs web memanggil endpoint tersebut setiap hari selama Agustus. Angka tertinggi yang tercatat bahkan mencapai 536 situs dalam satu hari.
Temuan tersebut menunjukkan bahwa kampanye tidak bergantung pada beberapa domain berbahaya saja. Sebaliknya, pelaku menggunakan jaringan besar situs legitimate yang telah dikompromikan sebagai titik distribusi.
Bagi korban, hal ini membuat serangan menjadi lebih sulit dikenali karena halaman awal yang mereka kunjungi bisa saja merupakan situs bisnis yang sebelumnya mereka percaya.
Situs WordPress dan PrestaShop Menjadi Target
Sebagian besar situs yang ditemukan Netskope menggunakan WordPress dan PrestaShop.
Namun, penelitian tersebut belum mengungkap metode awal yang digunakan threat actor untuk mendapatkan akses ke situs-situs tersebut.
Karena itu, pemilik website sebaiknya tidak langsung berasumsi bahwa kampanye ini disebabkan oleh satu kerentanan tertentu pada WordPress atau PrestaShop.
Yang lebih penting adalah memastikan seluruh CMS, plugin, theme, serta komponen server diperbarui dan memeriksa adanya script asing yang tidak seharusnya berada pada halaman website.
Netskope Sarankan Memblokir Endpoint BSC Testnet
Netskope merekomendasikan administrator dan defender untuk melakukan pemblokiran terhadap seluruh pool BSC Testnet RPC endpoint yang terkait dengan kampanye tersebut.
Selain itu, organisasi disarankan memantau traffic UDP non-web yang berhubungan dengan WebRTC untuk menemukan aktivitas yang mencurigakan.
Pemantauan semacam ini menjadi semakin penting karena kampanye telah menggabungkan beberapa teknik sekaligus: situs web legitimate yang dikompromikan sebagai initial delivery point, blockchain sebagai penyimpanan payload, ClickFix sebagai rekayasa sosial, serta WebRTC sebagai mekanisme komunikasi.
Kombinasi tersebut memungkinkan threat actor membangun infrastruktur distribusi malware yang lebih sulit dihentikan dibandingkan kampanye yang hanya mengandalkan server malware konvensional.
Dengan lebih dari 5.400 situs yang telah ditemukan dalam kampanye ini, pemilik website dan administrator jaringan perlu memperhatikan aktivitas script yang tidak dikenal serta lalu lintas menuju endpoint blockchain yang tidak berkaitan dengan fungsi normal situs.
Sumber: Netskope
