駭侵新手法：將惡意程式碼藏身於區塊鏈內，更加難以偵測並下架

2023 / 10 / 30
作者：電子報

2023 / 10 / 30
Author : 電子報

分類：資安, 電子報
Tags：國內外重要資安新聞

Categories : 資安, 電子報
Tags : 國內外重要資安新聞

資安廠商 Guardio 旗下的資安專家，近期發現有駭侵者使用一種全新的手法來散布惡意程式碼；即利用區塊鏈來藏匿惡意程式碼，藉其去中心化的特性，使其駭侵手法更不容易偵測防範。Guardio 在兩個多月前發現有駭侵者利用這種稱為「ClearFake」的手法來進行攻擊。原本該駭侵者係使用遭到入侵成功的 WordPress 網站來放置惡意程式碼，並利用 CloudFlare 的 Worker 功能進行重新導向；但因該 ClouldFlare Worker 遭發現而下架，之後駭侵者便改用 Binance Smart Chain 區塊鏈來存放其惡意程式碼。Guardio 指出，駭侵者首先利用已知漏洞駭入多個 WordPress 網站，或是竊得該網站的 admin 登入權限，然後在其網站頁面中植入兩段指令碼，該指令碼會自 Binance Smart Chain 中載入惡意程式碼，再將這段惡意程式碼嵌入到 WordPress 的頁面中。這段程式碼會連線到一台控制伺服器，並載入第三段惡意軟體酬載；受害者如果不慎進入該受駭的 WordPress 網站，會看到假冒的 Chrome、Firefox、Edge 瀏覽器更新畫面，誘騙使用者按下更新按鈕並下載另一段惡意軟體。Guardio 說，這種利用區塊鏈來放置惡意程式碼的手法十分新穎。由於區塊鏈具備去中心化與不可篡改的特性，因此置入到區塊鏈中的惡意軟體程式碼是無法下架的。而 ClearFake 也利用區塊鏈來記錄控制伺服器的位置資訊，因此要是有某台控制伺服器遭到破獲下線，駭侵者也可在區塊鏈上輕鬆新增新伺服器的位址資訊。

這種利用區塊鏈來存放惡意程式碼的新手法，目前難以防治；以此案為例，僅能由加強 WordPress 網站本身的資安防護功能來入手。