Campanha ErrTraffic utiliza blockchain para evadir detecção
Uma nova campanha de malware, rastreada como ErrTraffic, está utilizando a blockchain Polygon para esconder partes de sua infraestrutura de comando e controle (C2), tornando as operações de desmantelamento mais difíceis para os defensores. A campanha, identificada por analistas da WatchGuard, transforma sites WordPress comprometidos em pontos de lançamento para prompts de verificação falsos que persuadem visitantes a executar comandos prejudiciais no Windows.
A técnica conhecida como ClickFix não explora falhas de software, mas sim engenharia social. A página instrui o usuário a copiar e colar um suposto "fix" em caixas de comando do Windows ou PowerShell. Essa única ação pode baixar um payload, dando aos criminosos acesso a dados do navegador, credenciais salvas, cookies e informações de carteiras de criptomoedas.
Infraestrutura baseada em contratos inteligentes
O mecanismo de ErrTraffic começa quando um usuário acessa um site WordPress comprometido. O JavaScript injetado não contém o destino final do ataque em texto claro. Em vez disso, ele consulta a rede Polygon por meio de serviços de chamada de procedimento remoto (RPC), recupera configurações de um contrato inteligente e usa essa resposta para localizar a infraestrutura atual controlada pelos atacantes.
Essa prática, muitas vezes chamada de EtherHiding, torna as remoções mais difíceis porque os operadores podem atualizar as informações mantidas no contrato sem precisar revisar cada site infectado. A abordagem empurra os defensores além da página da web, exigindo monitoramento de atividades de rede que alcancem serviços RPC da Polygon imediatamente após visitas a sites comprometidos.
Armadilha ClickFix e execução de payload
O isco pede ao usuário que complete uma verificação de navegador ou estilo CAPTCHA falsa. O comando PowerShell resultante pode buscar tanto um programa 7-Zip com nome aleatório quanto um payload com nome aleatório, ou baixar o payload diretamente. A vítima, portanto, realiza o passo de execução, o que dificulta a detecção baseada em assinaturas tradicionais.
A WatchGuard identificou a atividade em telemetria e a vinculou a uma operação de malware-as-a-service (MaaS) do ErrTraffic, anunciada por um usuário de fórum conhecido como LenAI. Os achados mostram um serviço de entrega distribuindo várias ameaças, incluindo Vidar, Okobot, LegionLoader, payloads relacionados ao OnionDrop e BabaDedaLoader.
Impacto e múltiplos payloads
A escolha do payload é especialmente séria. O Vidar visa dados de navegador e carteiras, e foi visto se comunicando por meio de um canal do Telegram, um perfil do Steam e um site brasileiro comprometido. Uma variante criou threads remotas no Chrome e Edge, um esforço que pode expor informações mantidas por esses navegadores.
O Okobot chegou por meio de um arquivo ZIP contendo Volume2 e uma DLL maliciosa, tentando enfraquecer as configurações do Microsoft Defender e remover uma proteção em torno do LSASS, um processo do Windows que contém material de login sensível. O padrão ecoa ataques recentes de entrega ClickFix MSI, onde um prompt transforma a interação comum do usuário em execução de malware.
Os pesquisadores também encontraram um MSI malicioso com um backdoor Node.js que usou o Tor para tráfego de comando e controle, além de variantes do OnionDrop que se esconderam atrás de programas legítimos por meio de side-loading de DLL. Uma variante baseada em Go entrou em contato com infraestrutura associada ao LegionLoader, enquanto outra cadeia usou ferramentas de compilação do Windows para alcançar um payload BabaDedaLoader.
Recomendações para defensores
Para os defensores, a prioridade é impedir que o prompt se torne execução. Os usuários nunca devem colar comandos de um CAPTCHA, aviso de atualização ou página de suporte no Run, Terminal ou PowerShell. Os administradores devem investigar prontamente sites WordPress que definem o cookie errtraffic_session, revisar downloads inesperados do PowerShell e observar a injeção suspeita de processos do navegador.
As equipes de segurança também devem inspecionar a atividade de rede que alcança serviços RPC da Polygon imediatamente após visitas a sites comprometidos e correlacioná-la com downloads incomuns ou DLLs recém-criadas. Manter os aplicativos da web atualizados e remover scripts injetados reduz os pontos de lançamento disponíveis.
Indicadores de Comprometimento (IoCs)
Os principais indicadores incluem o cookie HTTP errtraffic_session=, padrões de URL específicos que contêm tokens de 64 dígitos e referências a navegadores, e diversos domínios associados como equinixad[.]monster, lsikjsns[.]beer e ap7[.]supportly[.]au. Além disso, arquivos como taskcollect.dll, protobuff.dll e Volume2.exe foram observados na cadeia de infecção.
Perguntas frequentes
Como saber se meu site foi comprometido?
Verifique a presença do cookie errtraffic_session e inspecione scripts JavaScript injetados que consultam serviços RPC da Polygon.
Qual a melhor mitigação?
Bloqueie conexões de saída para serviços RPC da Polygon em sites não confiáveis e eduque os usuários sobre não executar comandos de páginas de verificação.