ClickFix usa EtherHiding e porta a un wallet legato alla Corea del Nord

🛡️ Executive Summary

• Una campagna ClickFix convince le vittime a eseguire comandi PowerShell e recupera l’infrastruttura malevola attraverso smart contract pubblici.
• EtherHiding consente agli operatori di sostituire payload e server senza modificare i domini iniziali o distribuire nuovi loader.
• L’analisi on-chain individua collegamenti con wallet e attività nordcoreane, ma non costituisce da sola un’attribuzione definitiva a Lazarus.

Una nuova analisi di AllSecure collega una campagna ClickFix basata su EtherHiding a un wallet con sovrapposizioni riconducibili all’ecosistema cyber nordcoreano. L’attacco utilizza false verifiche e istruzioni tecniche per convincere la vittima a eseguire personalmente un comando PowerShell, superando così i tradizionali controlli applicati ai download. La catena interroga successivamente una blockchain pubblica per recuperare indirizzi, configurazioni o payload aggiornabili dagli operatori. Il wallet individuato durante l’indagine fornisce un nuovo elemento di attribuzione, ma deve essere interpretato insieme a malware, infrastrutture e procedure operative: una transazione condivisa o un finanziamento comune non dimostrano automaticamente che ogni attività appartenga a Lazarus o a un singolo gruppo della Corea del Nord.

ClickFix trasforma la vittima nell’esecutore del malware

La campagna utilizza il modello ClickFix, nel quale una pagina web mostra un falso CAPTCHA, un errore del browser, una verifica di sicurezza o un problema tecnico apparentemente risolvibile attraverso pochi passaggi. Il sito copia automaticamente negli appunti un comando e invita l’utente ad aprire la finestra Esegui, PowerShell o Windows Terminal, incollare il contenuto e premere Invio. L’aggressore non deve quindi sfruttare una vulnerabilità del browser né convincere la vittima a scaricare un eseguibile riconoscibile: è l’utente stesso ad avviare uno strumento legittimo di Windows e autorizzare l’esecuzione della prima fase. La tecnica continua a evolversi perché sfrutta un gesto normalmente associato all’assistenza tecnica e può cambiare rapidamente grafica, linguaggio e servizio impersonato. Una dinamica simile è stata osservata nella campagna UAC-0145 contro dispositivi ucraini attraverso falsi CAPTCHA ClickFix, mentre altre operazioni hanno abusato direttamente di Windows Terminal e risultati promossi per diffondere infostealer. ClickFix non identifica quindi una specifica famiglia malware, ma una tecnica di ingegneria sociale che può consegnare loader, RAT, infostealer e componenti destinati al furto di criptovalute. Il principale vantaggio per gli attaccanti consiste nel superare i controlli che bloccano file allegati, macro e download sospetti, facendo apparire l’attività iniziale come una sequenza di comandi avviata volontariamente dall’utente.

EtherHiding sposta il comando e controllo sulla blockchain

Dopo l’esecuzione iniziale, la catena utilizza EtherHiding, tecnica che sfrutta smart contract e transazioni blockchain come deposito distribuito per codice, configurazioni o indirizzi di comando e controllo. Il loader non deve contenere un dominio fisso facilmente rilevabile e bloccabile, perché può interrogare una funzione pubblica del contratto attraverso eth_call oppure leggere i dati associati a una transazione. Gli operatori aggiornano il valore conservato on-chain e modificano così il server o il payload raggiunto dalle vittime senza cambiare lo script iniziale. La blockchain offre persistenza, replicazione globale e resistenza ai tradizionali interventi di takedown: non esiste un singolo provider di hosting al quale chiedere la rimozione del contratto e la cronologia delle transazioni resta disponibile pubblicamente. L’utilizzo di blockchain compatibili con Ethereum, comprese BNB Smart Chain, Ethereum e Polygon, permette inoltre di affidarsi a numerosi endpoint RPC, explorer e API pubbliche. Se un intermediario blocca le richieste, il malware può passare a un servizio differente senza modificare l’infrastruttura on-chain. La tecnica era già emersa nella campagna UNC5142 che utilizzava EtherHiding attraverso siti WordPress compromessi, ma la sua adozione da parte di attori statali ne aumenta la rilevanza strategica. Nel rapporto di Google Threat Intelligence sull’adozione di EtherHiding da parte della Corea del Nord, UNC5342 utilizza la blockchain per distribuire JADESNOW, recuperare fasi successive e aggiornare rapidamente l’infrastruttura destinata a INVISIBLEFERRET.

Il wallet pubblico diventa una traccia investigativa permanente

La proprietà che rende EtherHiding resistente alla rimozione produce contemporaneamente una debolezza operativa: le transazioni e le relazioni tra wallet sono pubbliche, permanenti e analizzabili. Ogni distribuzione di un contratto, aggiornamento dello storage, trasferimento di fondi o pagamento delle commissioni può collegare indirizzi utilizzati in campagne differenti. Gli analisti possono ricostruire quale wallet abbia creato il contratto, da dove abbia ricevuto i fondi, quali altri indirizzi abbia finanziato e quali transazioni siano avvenute nello stesso periodo. AllSecure ha seguito questa traccia partendo dalla catena ClickFix e dall’infrastruttura EtherHiding, individuando sovrapposizioni con wallet e attività associate alla Corea del Nord. Il dato rafforza l’ipotesi di un coinvolgimento DPRK, soprattutto quando viene combinato con esche, obiettivi, famiglie malware e comportamenti già osservati nelle operazioni Contagious Interview. I cluster nordcoreani hanno infatti una lunga esperienza nel colpire sviluppatori, aziende blockchain e possessori di criptovalute attraverso falsi incarichi professionali, repository manipolati e malware multipiattaforma. La campagna Contagious Interview nascosta negli SVG dei falsi colloqui e le operazioni con BeaverTail e OtterCookie contro sviluppatori e wallet crypto mostrano la continuità di questo obiettivo. La blockchain non fornisce però un’identità giuridica certa: wallet, infrastrutture e servizi possono essere condivisi, rivenduti, compromessi o deliberatamente riutilizzati per creare false sovrapposizioni. L’attribuzione deve quindi restare probabilistica e sostenuta da più categorie di evidenza.

I malware nordcoreani puntano a browser e wallet crypto

L’interesse della Corea del Nord per EtherHiding è coerente con la finalità economica delle sue principali campagne informatiche. Le famiglie collegate a Contagious Interview cercano password memorizzate nei browser, cookie di sessione, token, chiavi SSH, file di configurazione, password manager ed estensioni per criptovalute come MetaMask e Phantom. Il controllo della workstation di uno sviluppatore può offrire anche accesso a repository privati, variabili d’ambiente, account cloud e pipeline di distribuzione software, trasformando una singola infezione in un incidente di supply chain. Le campagne ClickFix ampliano il numero di vittime raggiungibili perché non richiedono la clonazione di un repository o l’esecuzione di un progetto tecnico: possono essere adattate a utenti comuni, investitori, personale amministrativo e dipendenti convinti di dover risolvere un problema del browser. Gli operatori possono quindi utilizzare la stessa infrastruttura EtherHiding per distribuire payload differenti in base a sistema operativo, posizione geografica, indirizzo IP o valore stimato della vittima. Il precedente ClickFake Interview contro l’industria delle criptovalute aveva già mostrato la convergenza tra falsi colloqui, esecuzione guidata di comandi e furto di asset digitali. Una volta ottenuti seed phrase, cookie autenticati o chiavi private, il trasferimento delle criptovalute può avvenire rapidamente e in modo irreversibile, prima che la vittima comprenda di aver eseguito codice malevolo.

La difesa deve controllare appunti, PowerShell e traffico blockchain

La mitigazione non può limitarsi al blocco di un dominio, perché smart contract, endpoint RPC e servizi di esplorazione blockchain possono sostituire dinamicamente l’infrastruttura tradizionale. Le organizzazioni devono rilevare le sequenze tipiche di ClickFix, come l’apertura della finestra Esegui o di PowerShell immediatamente dopo la visita a un sito, l’esecuzione di comandi lunghi copiati negli appunti, l’uso di Invoke-Expression, DownloadString, curl, mshta, rundll32 e script codificati. I criteri di riduzione della superficie di attacco possono impedire a Office, browser e processi non fidati di generare interpreti di comandi, mentre le applicazioni di controllo devono limitare script e binari eseguibili dalle directory temporanee. Il traffico verso RPC blockchain, explorer e API Web3 deve essere analizzato nel contesto: una richiesta Ethereum non è malevola in sé, ma diventa sospetta quando proviene da PowerShell, wscript, un processo appena creato o un host che non svolge attività blockchain. Dopo l’esecuzione di un comando ClickFix devono essere considerate potenzialmente compromesse credenziali del browser, sessioni cloud, chiavi SSH, token degli sviluppatori e wallet presenti sul computer. Nel rapporto tecnico di AllSecure sulla catena ClickFix, EtherHiding e sul wallet collegato alla Corea del Nord, l’analisi on-chain non rappresenta soltanto uno strumento di attribuzione: consente ai difensori di seguire aggiornamenti dei contratti, wallet finanziatori e nuove infrastrutture prima che gli indicatori tradizionali vengano pubblicati. La blockchain rende il comando e controllo più resistente, ma lascia una cronologia permanente che può essere trasformata in telemetria investigativa.