C'est en r\u00e9ponse \u00e0 ces points qu'est apparue la technique du\u00a0\"EtherHiding\"<\/strong>\u00a0(ou \"EtherHide\"). Le principe pour le cyber-attaquant consiste \u00e0 exploiter la technologie de la blockchain pour y stocker certains composants de son infrastructure.\u00a0Les n\u0153uds impliqu\u00e9s sont\u00a0sur des emplacements g\u00e9ographiques diff\u00e9rents, sans gestion par une entit\u00e9 ou une organisation unique, ce qui rend les blocs impossibles \u00e0 supprimer via une demande externe.\u00a0De plus, ceci complique toute d\u00e9tection puisque le trafic est dirig\u00e9 vers des n\u0153uds l\u00e9gitimes, plut\u00f4t que vers un C2. Et enfin, puisque la blockchain constitue un interm\u00e9diaire immuable entre les victimes et le groupe cyber-criminel, ce dernier peut remodeler\u00a0ses serveurs plus facilement, sans devoir modifier quoi que ce soit du c\u00f4t\u00e9 de ses victimes.<\/p>\n Cette technique, th\u00e9oris\u00e9e \u00e0 la fin des ann\u00e9es 2010, a commenc\u00e9 \u00e0 appara\u00eetre de fa\u00e7on retentissante en 2023\u00a0avec une campagne du groupe UNC5142<\/a>. Depuis son apparition la m\u00eame ann\u00e9e, celui-ci a adopt\u00e9 ce mode d'action afin de d\u00e9ployer des infostealers sur des victimes. Des op\u00e9rations similaires sont \u00e9galement\u00a0fr\u00e9quemment observ\u00e9es\u00a0depuis. Si la blockchain utilis\u00e9e et le\u00a0mode op\u00e9ratoire\u00a0peuvent varier, la strat\u00e9gie demeure la m\u00eame pour le moment.<\/p>\n Il faut cependant noter que cette nouvelle technique n'est pas sans inconv\u00e9nient\u00a0pour les cyber-attaquants. Elle ouvre de nouvelles opportunit\u00e9s de suivis aux analystes, ainsi que des possibilit\u00e9s de contre-attaques. Enfin, m\u00eame si la dissimulation du trafic permet\u00a0d'\u00e9chapper \u00e0 la d\u00e9tection, il existe des parades pour s'en prot\u00e9ger.<\/p>\n Le c\u0153ur de la technique de l'EtherHiding<\/strong>\u00a0consiste pour l'attaquant \u00e0\u00a0placer certaines donn\u00e9es dans un\u00a0smart contract<\/strong><\/em>. Dans le monde de la blockchain, un\u00a0smart contract<\/em>\u00a0est un programme informatique qui v\u00e9rifie et ex\u00e9cute un accord. Il comporte une adresse, un code source immuable et\u00a0un\u00a0espace de donn\u00e9es diff\u00e9rentiel qui \u00e9volue\u00a0via les futurs blocs ajout\u00e9s issus des transactions int\u00e9gr\u00e9es \u00e0 la blockchain. C'est principalement\u00a0dans cet espace de stockage\u00a0que les attaquants d\u00e9ploient des informations\u00a0comme\u00a0:<\/p>\n Le fait que l'on puisse faire \u00e9voluer ces donn\u00e9es sur de nouveaux blocs permet ainsi aux groupes cyber-criminels de r\u00e9-articuler leur attaque \u00e0 tout moment. Il leur suffit pour cela de r\u00e9aliser des transactions qui font \u00e9voluer l'espace de stockage sur leurs\u00a0smart contract<\/em>s.<\/p>\n \u00c0 pr\u00e9sent, comment la victime interagit-elle avec ce\u00a0contrat\u00a0? Dans les campagnes observ\u00e9es jusqu'ici, cela s'op\u00e8re principalement par le biais de pages web l\u00e9gitimes alt\u00e9r\u00e9s par les cyber-attaquants. Ceux-ci y injectent un script suppl\u00e9mentaire qui lance une requ\u00eate vers le\u00a0smart contract<\/em>\u00a0afin de r\u00e9cup\u00e9rer les donn\u00e9es. Pour y parvenir, les cyber-attaquants font appels \u00e0 des\u00a0services\u00a0de\u00a0Blockchain Infrastructure Platform (BIP)<\/strong>. Il s'agit d'entit\u00e9s qui h\u00e9bergent des n\u0153uds de diverses blockchains et qui proposent \u00e0 leurs clients d\u2019interagir avec elles via un ensemble de fonctions. Parmi ces services, on retrouve par exemple\u00a0Alchemy<\/a>,\u00a0Ankr<\/a>\u00a0ou encore\u00a0Quicknode<\/a>. Ils sont donc parfaitement l\u00e9gitimes. Ils se r\u00e9mun\u00e8rent souvent en facturant \u00e0 leurs clients les transactions op\u00e9r\u00e9es sur les blocs, ainsi que sur les appels de fonctions vers les\u00a0smart contracts<\/em>.<\/p>\n L'une d'entre-elles est d'ailleurs massivement utilis\u00e9e dans le cas de la technique de l'EtherHiding, il s'agit\u00a0de\u00a0eth_call<\/a><\/em>. Celle-ci permet d'appeler un contrat afin d'en collecter des informations. Cette fonction est utilisable depuis un script javascript par une simple requ\u00eate POST. On peut ainsi contacter directement le contrat via son adresse. Dans la plupart des cas, il faut \u00e9galement joindre une cl\u00e9 API en param\u00e8tre afin que le BIP authentifie la demande du client.<\/p>\n Exemple d'appel eth_call dans un script Javascript<\/strong><\/p>\n La fonction\u00a0 Dans\u00a0ce cas de figure, la\u00a0r\u00e9vision la plus r\u00e9cente des donn\u00e9es consomm\u00e9es par le\u00a0smart contract<\/em>\u00a0contient la configuration n\u00e9cessaire pour joindre un serveur de\u00a0Command and Control<\/em>\u00a0des criminels. L'appel au contrat peut retourner entre-autre un URL, un port, une cl\u00e9 de chiffrement, une configuration... Une fois\u00a0r\u00e9cup\u00e9r\u00e9\u00a0par le script, celui-ci lance des requ\u00eates vers le C2 qui sera utilis\u00e9 pour la suite de l'attaque. Ici, le\u00a0smart contract<\/em>\u00a0fait donc office d'annuaire, permettant \u00e0 l'attaquant d'aiguiller la victime vers son\u00a0C2. Si cela ne rend pas l'attaquant ind\u00e9tectable, cela renforce sa r\u00e9silience. M\u00eame si les IP et URL de son C2 se font bloquer, le contrat, lui, est toujours op\u00e9rationnel. Et il suffit de\u00a0faire \u00e9voluer ses donn\u00e9es\u00a0pour que l'attaquant relance son\u00a0op\u00e9ration.<\/p>\n Figure 1\u00a0:\u00a0Exemple d'un smart contract retournant l'adresse d'un C2<\/em><\/p>\n Dans ce cas, les donn\u00e9es du\u00a0smart contract<\/em>\u00a0retournent du code HTML\/javascript que le script affiche dans une fen\u00eatre superpos\u00e9e \u00e0 la page initiale (un iframe). Celle-ci indique aux victimes de faux messages d'erreurs, ou bien de faux Captcha, dans le but de\u00a0leur\u00a0faire \u00e0 entrer des commandes malveillantes (la fameuse technique du\u00a0Clickfix<\/a>) pour la suite de l'attaque. Il est \u00e0 noter que, soit le\u00a0smart contract<\/em>\u00a0retourne le code lui-m\u00eame, soit il redirige vers un C2 qui contient lui-m\u00eame la page, comme indiqu\u00e9 dans la section\u00a0pr\u00e9c\u00e9dente.<\/p>\n Figure 2\u00a0:\u00a0Exemple d'un Smart Contract retournant directement un payload<\/em><\/p>\n Dans les infrastructures de type blockchain, ce que l'on appelle le\u00a0proxy pattern<\/strong>\u00a0est un mod\u00e8le permettant de s\u00e9parer le routage et la logique. Concr\u00e8tement, il s'agit de disposer d'un\u00a0smart contract<\/em>\u00a0vitrine qui fait office de point de contact initial avec l'ext\u00e9rieur. Son r\u00f4le est de rediriger les demandes vers d'autres\u00a0smart contracts<\/em>\u00a0qui, eux, ex\u00e9cutent les fonctions logiques.<\/p>\n Pour les attaquants, l'int\u00e9r\u00eat de cette technique est de pouvoir moduler dynamiquement leurs op\u00e9rations en cr\u00e9ant de nouveaux contrats qui seront utilis\u00e9s\u00a0\u00e0 la place des\u00a0anciens. De plus, il est possible de cr\u00e9er plusieurs contrats, avec, pour chacun d'entre eux, une fonction pr\u00e9cise. Le\u00a0cas de la campagne de\u00a0UNC5142 en novembre 2024 est d'ailleurs int\u00e9ressant \u00e0 ce niveau.<\/p>\n Son fonctionnement \u00e9tait le suivant\u00a0:<\/p>\n Figure\u00a03 : Exemple d'un proxy pattern<\/em><\/p>\n Depuis son apparition fin 2023, plusieurs campagnes exploitant la technique de l'EtherHiding ont \u00e9t\u00e9 d\u00e9couvertes.\u00a0Les mod\u00e8les de celles-ci\u00a0varient selon les op\u00e9rations mais le principe demeure le m\u00eame. Nous observons cependant des marqueurs temporels sur les plus grandes op\u00e9rations et sur les variations de techniques employ\u00e9es\u00a0:<\/p>\n Cette technique pr\u00e9sente, comme on l'a vu, des avantages tr\u00e8s int\u00e9ressants pour les attaquants. En effet, les blocs d\u00e9centralis\u00e9s sont impossibles \u00e0 supprimer. Il y a \u00e9galement le cas des Blockchain Infrastructure Plarforms, que les groupes criminels emploient pour l'interaction entre les victimes et les\u00a0smart contracts<\/em>. Les autorit\u00e9s pourraient en th\u00e9orie entreprendre des actions\u00a0contre ces services\u00a0pour qu'elles suppriment\u00a0les comptes des cyber-malveillants. Mais ces proc\u00e9dures seront probablement tr\u00e8s longues et bien incertaines, en fonction du pays d'implantation de ces fameux services BIP. Il y a fort \u00e0 parier que leurs niveaux de coop\u00e9ration seront tr\u00e8s variables.<\/p>\n En revanche, l'EtherHiding n'est pas sans\u00a0inconv\u00e9nient\u00a0pour les criminels. De par sa nature, les informations stock\u00e9es sur les blocs sont publics et immuables. Via les outils de recherches sur les blockchains, les analystes peuvent acc\u00e9der \u00e0 leur contenu, ainsi\u00a0qu'\u00e0 des marquants identifiant les attaquants. Il est donc possible d'observer en temps r\u00e9els leurs\u00a0transactions et leurs activit\u00e9s.<\/p>\n De plus, le code et les donn\u00e9es stock\u00e9es dans les\u00a0smart contract<\/em>\u00a0sont accessibles apr\u00e8s d\u00e9chiffrement. Ainsi, s'il y a des C2 employ\u00e9s, ils peuvent \u00eatre localis\u00e9s ici. De m\u00eame, les \u00e9ventuels payloads peuvent \u00eatre examin\u00e9s, et\u00a0les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie des victimes sont lisibles. Dans le cas du code du contrat, il est m\u00eame possible de l'employer en tant que pivot pour\u00a0d\u00e9nicher\u00a0les\u00a0smart contracts<\/em>\u00a0similaires. Ainsi, de larges morceaux d'infrastructure des attaquants peuvent \u00eatre d\u00e9couverts.<\/p>\n Enfin, pour r\u00e9aliser les appels vers les fonctions du\u00a0smart contract<\/em>, la plupart des services BIP n\u00e9cessitent une cl\u00e9 d'API permettant d'identifier et authentifier le client.\u00a0Ainsi, dans certains scripts inject\u00e9s \u00e0 l'int\u00e9rieur des pages web\u00a0alt\u00e9r\u00e9es,\u00a0on peut retrouver les cl\u00e9s d'API\u00a0des attaquants\u00a0dans l'appel \u00e0 la fonction\u00a0 Le probl\u00e8me principal pour la d\u00e9tection de ces attaques est constitu\u00e9 par la nature\u00a0enti\u00e8rement l\u00e9gitime des connexions\u00a0vers les n\u0153uds de blockchain. D\u00e8s lors, comment faire\u00a0?<\/p>\n Pour les organisations, cela commence par la question suivante\u00a0: \"Est-ce que dans le cadre de nos activit\u00e9s, nos employ\u00e9s sont amen\u00e9s \u00e0 utiliser les fonctions d\u2019interaction avec la blockchain\u00a0?\".<\/em>\u00a0Si ce n'est pas le cas, il peut d\u00e8s lors \u00eatre int\u00e9ressant de tenter de les\u00a0d\u00e9tecter et bloquer c\u00f4t\u00e9 r\u00e9seau,\u00a0si\u00a0l'une d'entre-elles se trouve dans un script.<\/p>\n Pour interagir avec un\u00a0smart contract<\/em>, on pense \u00e9videmment \u00e0\u00a0 Sur les pare-feux Stormshield Network Security (SNS), une protection IPS d\u00e9di\u00e9e\u00a0vous aide \u00e0 d\u00e9tecter les sites web faisant appel \u00e0 un\u00a0smart contract<\/em>\u00a0:\u00a0http:javascript:stack.519 - Web : Tentative de r\u00e9cup\u00e9ration de donn\u00e9es d'un smart contract par une page web<\/strong><\/p>\n Par d\u00e9faut, cette r\u00e8gle n'est activ\u00e9e en mode bloquant que sur le profil \"High\" du SNS. Nous vous recommandons de ne l'activer que si votre organisation n'a aucun rapport particulier avec l'Univers de la Blockchain.<\/p>\n Enfin, puisqu'un grand nombre de ces campagnes incluent une partie li\u00e9e au ClickFix, il est toujours utile de former les employ\u00e9s sur ce risque, afin qu'ils ne se transforment pas en futures victimes.<\/p>\n Cette technique de l'EtherHiding est un bon exemple de tentative d'adaptation des attaquants pour am\u00e9liorer leur r\u00e9silience\u00a0: des \u00e9l\u00e9ments d'infrastructures l\u00e9gitimes\u00a0et impossibles \u00e0 d\u00e9truire.\u00a0Elle s'int\u00e8gre donc parfaitement dans un sc\u00e9nario d'attaque avanc\u00e9. De nouvelles campagnes appliquant cette strat\u00e9gie sont ponctuellement rep\u00e9r\u00e9es par les chercheurs en cybers\u00e9curit\u00e9. Et il est fort probable que cela continue, avec de nouvelles organisations dans la fa\u00e7on dont les criminels \u00e9tablissent leurs\u00a0smart contracts<\/em>. Mais elle n'est pas invisible non plus. La nature m\u00eame de la blockchain permet de suivre l'activit\u00e9 des groupes et de les analyser.<\/p>\n","protected":false},"excerpt":{"rendered":" Pr\u00e9ambule Dans le monde de la cyber-criminalit\u00e9, un \u00e9trange jeu du chat et de\u00a0la souris\u00a0se d\u00e9roule en permanence. Les chercheurs en cybers\u00e9curit\u00e9 traquent sans rel\u00e2che les infrastructures des cyber-attaquants. D\u00e8s que certains de leurs composants sont d\u00e9couverts et expos\u00e9s au grand jour, ceux-ci deviennent rapidement…<\/p>\n","protected":false},"author":83,"featured_media":831565,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":"","_members_access_role":[],"_members_access_error":""},"categories":[7065],"tags":[4368],"business_size":[],"industry":[],"help_mefind":[],"features":[],"type_security":[],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[],"class_list":["post-831570","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technical-posts-fr","tag-la-cybersecurite-par-stormshield"],"acf":[],"yoast_head":"\nLa technique EtherHiding<\/h2>\n
Le\u00a0smart contract<\/h3>\n
\n
const<\/strong><\/span> body = {<\/code><\/p>\njsonrpc: \"2.0<\/span>\",
\nmethod: \"eth_call<\/span>\",
\nparams: [{<\/code><\/p>\nto<\/span><\/strong>: CONTRACT,
\ndata: DATA<\/code><\/p>\n}, \"latest<\/span>\"],
\nid: 1<\/span><\/code><\/p>\n};<\/code><\/p>\nconst<\/strong><\/span> r = await fetch(RPC_URL, {<\/code><\/p>\nmethod: \"POST<\/span>\",
\nbody: JSON.stringify(body)<\/code><\/p>\n});<\/code><\/p>\neth_call<\/code>\u00a0est \u00e9galement embarqu\u00e9e dans certaines librairies, comme\u00a0ethers.js<\/a>,\u00a0viem<\/a>,\u00a0web3.js<\/a>. Celles-ci peuvent donc parfois se retrouver dans le script inject\u00e9. Les donn\u00e9es collect\u00e9es sont ensuite exploit\u00e9es par le script. Plusieurs cas d'usages sont alors observ\u00e9s, parfois compl\u00e9mentaires.<\/p>\nCas d'usage de liaison avec un C2<\/h3>\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/etherhiding-cti-1.png\")
<\/p>\nCas d'usage de modification de la page web<\/h3>\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/etherhiding-cti-2.png\")
<\/p>\nCas d'usage du proxy pattern<\/h3>\n
\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/etherhiding-cti-3.png\")
<\/p>\nChronologie<\/h2>\n
\n
\n
\n
Une technique avec des inconv\u00e9nients<\/h2>\n
eth_call<\/code>. Pour rappel, la plupart des services BIP\u00a0facturent \u00e0 leurs clients ces appels, ou bien ne leur en attribuent qu'un stock limit\u00e9. Une fois en possession de ces\u00a0fameuses cl\u00e9s, il devient ainsi th\u00e9oriquement\u00a0possible\u00a0de consommer tout le cr\u00e9dit des attaquants. Si des restrictions l\u00e9gales s'appliquent sur de telles op\u00e9rations, tout le monde n'a pas autant de scrupules...<\/p>\nComment se prot\u00e9ger\u00a0?<\/h2>\n
eth_call<\/code>. Mais une autre fonction existe, permettant de lire le stockage d'un contrat\u00a0:\u00a0eth_getStorageAt<\/code>. En revanche, ces fonctions peuvent ne pas appara\u00eetre directement dans le script, mais dans une librairie tierse import\u00e9e comme\u00a0ethers.js<\/em>\u00a0ou\u00a0viem<\/em>. Leur pr\u00e9sence peut donc \u00eatre consid\u00e9r\u00e9e comme suspecte dans ce contexte. Enfin, la librairie\u00a0web3.js<\/em>\u00a0permet d'interagir avec un contrat via l'objet\u00a0eth.Contract<\/em>.<\/p>\nMITRE ATT&CK<\/h2>\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/etherhiding-cti-4-1024x196.png\")
<\/div>\nConclusion<\/h2>\n