Aksi Kriminal Siber Manfaatkan Smart Contract BNB Chain

Aksi Kriminal Siber Manfaatkan Smart Contract BNB Chain – Operasi kejahatan siber berskala besar kini tengah memanfaatkan ribuan situs web usaha kecil yang telah disusupi untuk mengirimkan muatan berbahaya berupa serangan ClickFix. Muatan tersebut disimpan secara cerdas di dalam smart contract pada jaringan BNB Smart Chain (BSC).

Dalam beberapa bulan terakhir, para peneliti berhasil mengidentifikasi lebih dari 5.400 situs web yang telah diretas, di mana sebagian besar di antaranya dibangun menggunakan platform WordPress dan PrestaShop.

Meskipun metode kompromi awal masih belum diketahui secara pasti, setiap situs web yang terinfeksi telah disusupi skrip khusus yang mengambil muatan tahap berikutnya langsung dari smart contract pada endpoint BSC Testnet—sebuah teknik canggih yang dikenal sebagai EtherHiding.

Teknik EtherHiding dan Pemanfaatan BSC Testnet

Para peneliti keamanan siber menjelaskan bahwa BSC Testnet pada dasarnya dirancang khusus untuk para pengembang perangkat lunak.

Jaringan ini memiliki fungsi yang serupa dengan mainnet (blockchain produksi), namun dapat digunakan secara gratis tanpa biaya. Pelaku ancaman memanfaatkan teknik EtherHiding untuk menyimpan kode berbahaya atau data konfigurasi langsung di dalam smart contract blockchain.

Metode ini menyediakan infrastruktur yang sangat tangguh, tahan banting, dan sangat sulit untuk diturunkan atau ditutup oleh penegak hukum.

Dalam rantai pengiriman yang diamankan oleh para peneliti, skrip yang disuntikkan akan menampilkan umpan ClickFix berupa verifikasi CAPTCHA palsu.

Pengunjung situs yang terkecoh akan diinstruksikan untuk membuka dialog Run pada sistem operasi Windows dan menempelkan (paste) sebuah perintah PowerShell.

Tindakan ini secara otomatis akan mengunduh dan mengeksekusi muatan akhir di perangkat korban. Karena pelaku menyimpan muatan di dalam smart contract, mereka dapat mengubah atau memperbarui kodenya kapan saja sesuai keinginan.

Evolusi Serangan

Pada perkembangan tahap lanjut dari kampanye ini, pelaku ancaman terdeteksi mengganti muatan ClickFix di dalam smart contract dengan stager saluran data WebRTC (WebRTC data-channel stager).

Pada varian yang lebih baru ini, muatan berbahaya berhasil membangun saluran terenkripsi terselubung ke arah penyerang dan mengeksekusi kode apa pun yang diterima.

Skrip tersebut bekerja dengan cara membuat koneksi peer dan saluran data, lalu menghasilkan penawaran deskripsi sesi yang menyerupai jabat tangan (handshake) WebRTC normal.

Namun, alih-alih mengirimkan penawaran tersebut ke jaringan luar dan menunggu balasan nyata, sistem secara otomatis menuliskan jawabannya sendiri dan memasukkannya langsung ke dalam koneksi. Dengan cara ini, proses jabat tangan yang sah tidak pernah terjadi, tetapi saluran data rahasia menuju peretas tetap terbuka lebar.

Stager tersebut kemudian menerima kode JavaScript dari alamat perintah dan kendali (C2) yang telah ditanamkan, melakukan buffering, lalu mengeksekusinya secara dinamis di dalam memori peramban web tanpa menyimpannya ke media penyimpanan cakram (disk).

Skala Serangan dan Rekomendasi Pertahanan

Netskope memperingatkan bahwa operasi berbahaya ini memanfaatkan lebih dari 300 situs web yang terinfeksi setiap harinya. Semenjak musim semi, jumlah situs web yang menghubungi endpoint RPC BSC Testnet terus melonjak secara konstan.

Data telemetri menunjukkan bahwa hampir 400 situs web memanggil endpoint tersebut setiap hari pada bulan Agustus, dengan rekor puncak tertinggi mencapai 536 situs web dalam sehari.

Guna menangkal ancaman tersebut, para peneliti keamanan memberikan sejumlah rekomendasi langkah pengamanan penting bagi tim pertahanan jaringan:

Blokir seluruh kumpulan endpoint RPC BSC testnet yang teridentifikasi untuk memutuskan komunikasi muatan berbahaya.
Tingkatkan pemantauan ketat terhadap lalu lintas jaringan UDP non-web yang berkaitan dengan protokol WebRTC guna mendeteksi adanya saluran komunikasi tersembunyi.
Lakukan audit berkala pada platform CMS seperti WordPress dan PrestaShop untuk memastikan keamanan integritas skrip situs web dari potensi injeksi kode ilegal.

Baca artikel lainnya: