https://www.informationsecurity.com.tw/seminar/2024_OT/
https://www.informationsecurity.com.tw/seminar/2024_OT/

新聞

駭侵新手法:將惡意程式碼藏身於區塊鏈內,更加難以偵測也無法下架

2023 / 10 / 23
編輯部
駭侵新手法:將惡意程式碼藏身於區塊鏈內,更加難以偵測也無法下架
資安廠商 Guardio 旗下的資安專家,近期發現有駭侵者使用一種全新的手法來散布惡意程式碼;即利用區塊鏈來藏匿惡意程式碼,藉其去中心化的特性,使其駭侵手法更不容易偵測防範。

Guardio 在兩個多月前發現有駭侵者利用這種稱為「ClearFake」的手法來進行攻擊。原本該駭侵者係使用遭到入侵成功的 WordPress 網站來放置惡意程式碼,並利用 CloudFlare 的 Worker 功能進行重新導向;但因該 ClouldFlare Worker 遭發現而下架,之後駭侵者便改用 Binance Smart Chain 區塊鏈來存放其惡意程式碼。

Guardio 指出,駭侵者首先利用已知漏洞駭入多個 WordPress 網站,或是竊得該網站的 admin 登入權限,然後在其網站頁面中植入兩段指令碼,該指令碼會自 Binance Smart Chain 中載入惡意程式碼,再將這段惡意程式碼嵌入到 WordPress 的頁面中。這段程式碼會連線到一台控制伺服器,並載入第三段惡意軟體酬載;受害者如果不慎進入該受駭的 WordPress 網站,會看到假冒的 Chrome、Firefox、Edge 瀏覽器更新畫面,誘騙使用者按下更新按鈕並下載另一段惡意軟體。

Guardio 說,這種利用區塊鏈來放置惡意程式碼的手法十分新穎。由於區塊鏈具備去中心化與不可篡改的特性,因此置入到區塊鏈中的惡意軟體程式碼是無法下架的。而 ClearFake 也利用區塊鏈來記錄控制伺服器的位置資訊,因此要是有某台控制伺服器遭到破獲下線,駭侵者也可在區塊鏈上輕鬆新增新伺服器的位址資訊。

這種利用區塊鏈來存放惡意程式碼的新手法,目前難以防治;以此案為例,僅能由加強 WordPress 網站本身的資安防護功能來入手。

本文轉載自TWCERT/CC。