Campanha HexMage e infraestrutura descentralizada
Uma campanha Magecart rastreada, batizada de HexMage, tem afetado mais de 40 sites de comerciantes em pelo menos 15 países desde abril de 2026. Diferente de operações tradicionais, os atacantes utilizam a infraestrutura do blockchain Ethereum para manter seu sistema de entrega ativo, escondendo um pequeno carregador JavaScript dentro de um bloco falso do Google Tag Manager em lojas infectadas.
Quando o checkout é aberto, o carregador recupera a biblioteca ethers.js de uma CDN e consulta um contrato inteligente na rede de teste Sepolia do Ethereum através de um serviço RPC público. O contrato retorna um nome de domínio de entrega descartável, que o carregador combina com um caminho pré-definido para baixar o skimmer final. Essa técnica, chamada EtherHiding, usa o blockchain público como um diretório para infraestrutura de ataque.
Técnicas de ocultação e coleta de dados
O código baixado aguarda até que o comprador escolha uma opção de pagamento com cartão, colocando então um formulário convincente sobre a área de pagamento real. Ele pode coletar número do cartão, data de validade, CVV, nome do titular, e-mail de faturamento e outros detalhes, enviando as informações codificadas em Base64. Após coletar os dados, o skimmer restaura a página normal para que a compra legítima possa terminar.
Uma característica alarmante é que o skimmer evita mostrar o formulário malicioso para administradores WordPress logados, o que pode deixar os proprietários das lojas inconscientes de uma infecção por meses. A tática lembra campanhas recentes de skimmers de checkout SVG, mas com uma camada adicional de resiliência proporcionada pelo uso de contratos inteligentes.
Resiliência e dificuldade de bloqueio
Estrutura frustrante para bloqueios simples: os operadores podem substituir um domínio armazenado em um contrato sem modificar o carregador deixado em um site infectado. Isso significa que, mesmo que um domínio seja bloqueado, o atacante pode atualizar o contrato para apontar para um novo endereço, mantendo a operação ativa.
No entanto, investigadores podem consultar dados públicos de contratos para traçar propriedade compartilhada, encontrar contratos relacionados e identificar infraestrutura antes do uso em produção. A existência de variantes que pulam o blockchain e contêm URLs completas de skimmer codificadas no código da página exige que defensores não confiem apenas no tráfego blockchain.
Recomendações para lojistas e consumidores
Operadores de lojas devem examinar mudanças no lado do servidor, plugins, contas de administrador e cada tag ou script carregado durante o checkout. Eles devem comparar o comportamento do checkout estando desconectado, inspecionar solicitações para domínios desconhecidos e remover código não autorizado antes de girar credenciais e revisar transações afetadas.
Para consumidores, um pedido bem-sucedido não é prova de que um checkout foi seguro. Qualquer pessoa que usou um cartão em um comerciante confirmado como comprometido deve entrar em contato com sua emissora de cartão prontamente, observar cobranças não familiares e substituir o cartão se aconselhado.
Indicadores de Comprometimento (IoCs)
O contrato inteligente utiliza seletores como 0xe00fe2eb para getText() e 0x5d3a1f9d para setText(string). Domínios de entrega incluem ashenravenfort[.]top, bloodboundcitadel[.]top e stylehailens[.]com. O endpoint RPC público usado é 0xrpc[.]io/sep. Carteiras associadas incluem 0x88361C914Bb0942da9a1b7Bb396a7513C1917aee.
Perguntas frequentes
- Por que usar blockchain para malware? Para evitar bloqueios de domínio tradicionais e aumentar a resiliência da infraestrutura de comando e controle.
- Como detectar esse tipo de ataque? Monitorar requisições inesperadas para redes blockchain e scripts de checkout não autorizados.
- É necessário trocar o cartão? Sim, se houver suspeita de que os dados foram capturados em um checkout comprometido.