5,400超の侵害サイトがEtherHidingによりClickFixを配布

EtherHidingでClickFixペイロードを配信　侵害されたWebサイトは5,400件以上

BleepingComputer – September 5, 2026

Netskopeの研究により、詳細不明の脅威アクター集団が中小企業のWebサイトを侵害・悪用し、BNB Smart Chain（BSC）スマートコントラクトを使ってClickFixのペイロードを配信していることが明らかになった。

侵害されたWebサイトは5,400件以上も特定されており、その多くはWordPressとPrestaShopで構築されていた。各サイトには有害なローダーが注入されており、BSCテストネットエンドポイントのスマートコントラクトにJSON-RPC eth_callリクエストを送信し、スクリプトを受信・実行する。これによりClickFixの偽のCAPTCHAが表示され、サイト訪問者にWindowsの「ファイル名を指定して実行」ダイアログを開いてPowerShellコマンドを貼り付けるよう指示。その後、最終ペイロードがダウンロード・実行される。

このような手法は「EtherHiding」と呼ばれており、今回のキャンペーンではメインネットではなく開発者向けサンドボックスであるテストネットを使うことで、メインネットと同様のテイクダウン耐性のあるホスティング機能を無料で利用している。

さらに、スマートコントラクトに保存されたペイロードは任意のタイミングで変更することができ、実際にキャンペーンの途中でスマートコントラクト内のClickFixペイロードはWebRTCデータチャネルステージャーに置き換えられたという。このステージャーは正規のWebRTC接続で必要なofferとanswerをスクリプト自身が生成することで、攻撃者のチャネルとのハンドシェイクを回避しつつ、ハードコードされたC2サーバーのアドレスからJavaScriptコードを受信し、動的に実行する。

Netskopeによると、毎日300件以上のWebサイトがこのキャンペーンで使用されており、その数は増加傾向にある。同社がIoCとして共有しているBSCテストネットのRPCエンドポイントをすべてブロックし、WebRTCに関連する非Web UDPトラフィックを監視することが推奨される。