RAT ChainScript esconde servidor de controle dentro de contrato inteligente na blockchain
A Blackpoint descobriu o ChainScript, um RAT em Node.js distribuído por campanhas ClickFix disfarçadas de instaladores de Spotify, Zoom e Teams, que consulta um smart contract na rede Polygon para descobrir o endereço atual do seu servidor de comando -- técnica chamada EtherHiding. O malware dá controle total da máquina da vítima e varre carteiras de criptomoedas instaladas, ainda sem rotina dedicada de roubo de chaves privadas.
A equipe Adversary Pursuit Group, da Blackpoint, investigava uma campanha ClickFix quando identificou um RAT inédito escrito em Node.js batizado de ChainScript. Sua característica central é usar um smart contract público na blockchain Polygon para armazenar e distribuir o endereço atual do seu servidor de comando e controle (C2), em vez de depender de um domínio ou IP fixo.
A infecção começa com a engenharia social típica do ClickFix: a vítima é induzida, por um site falso ou pop-up, a copiar e colar um comando que dispara o msiexec.exe, baixando um instalador disfarçado de aplicativo popular como Spotify, Zoom ou Microsoft Teams. Dentro do pacote, um runtime Node.js empacotado executa o agente malicioso. Em vez de um C2 fixo -- que pode ser derrubado ou bloqueado por listas de reputação --, o malware consulta o smart contract na Polygon e recebe de volta uma string ws:// ou wss:// atualizada. Como a blockchain é pública, imutável e difícil de tirar do ar, os operadores conseguem trocar de servidor apenas atualizando o contrato, sem precisar redistribuir o malware nem atualizar o código já instalado nas vítimas.
Uma vez ativo, o ChainScript concede shell interativo completo, leitura e escrita de arquivos, captura de tela e execução de payloads adicionais. Entre suas rotinas está a varredura de extensões de carteiras de criptomoedas instaladas no navegador da vítima. A Blackpoint não encontrou, nesta versão, código dedicado a exfiltrar chaves privadas diretamente -- mas o acesso de shell completo torna essa etapa trivial de adicionar ou executar manualmente, o que torna o malware, na prática, uma ferramenta de fraude financeira em potencial contra usuários de criptoativos.
O ponto de entrada é sempre a isca ClickFix: páginas que pedem para "copiar e colar" um comando na caixa Executar do Windows para "corrigir um problema" ou "provar que você é humano" são um sinal de alerta quase absoluto -- nenhum site legítimo pede esse tipo de ação. A recomendação prática é nunca colar comandos de origem desconhecida em terminal ou Executar; times de segurança devem monitorar chamadas de msiexec originadas de processos de navegador e tratar tráfego WebSocket para endereços de contrato na Polygon como indicador de comprometimento, além de manter carteiras cripto em dispositivos dedicados, sem acesso a downloads não verificados.