5 400 sites piratés diffusent le malware ClickFix via des contrats intelligents blockchain

Plus de 5 400 sites web compromis — la plupart construits sur WordPress et PrestaShop — sont exploités dans une campagne de malware active qui stocke ses charges malveillantes dans des contrats intelligents blockchain, ont révélé cette semaine des chercheurs de Netskope. La technique rend les suppressions quasi impossibles: il n'y a pas de serveur central à saisir.

Comment fonctionne l'attaque

Chaque site infecté contient un script injecté qui se connecte au BNB Smart Chain Testnet et télécharge une charge malveillante depuis un contrat intelligent. Cette technique, connue sous le nom d'EtherHiding, a atteint son pic d'activité en août 2026 avec 536 sites contactant le BSC Testnet en une seule journée. L'appât visible par l'utilisateur est une attaque ClickFix: une fausse page CAPTCHA qui invite les victimes à ouvrir la boîte de dialogue Exécuter de Windows et à coller une commande PowerShell.

La variante WebRTC

Plus tard dans la campagne, l'acteur malveillant a remplacé la charge ClickFix par un stager WebRTC sophistiqué. Le stager ouvre un canal chiffré dissimulé vers l'attaquant et exécute le code JavaScript reçu directement en mémoire du navigateur sans écrire quoi que ce soit sur le disque. Netskope recommande de bloquer tous les endpoints RPC du BNB Testnet et de surveiller le trafic UDP non web. Selon BleepingComputer.