新变种 ChainScript RAT 使用 Polygon 区块链轮换命令与控制服务器

原创

Z
Z

威胁情报Z分析

2026年9月28日 08:23
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Blackpoint Cyber 的 Adversary Pursuit Group 在调查活跃的 ClickFix 恶意软件分发活动时，发现了一种此前未记录的 Node.js 远程访问木马 ChainScript。

• ChainScript 伪装成 Spotify、Zoom Workplace 和 Microsoft Teams 软件

• 感染链使用 ClickFix 风格的社会工程学，随后通过 msiexec.exe 执行恶意 MSI 文件

• 安装程序部署自己的 Node.js 运行时，并通过隐藏的 PowerShell 和 VBScript 阶段启动 RAT

• 恶意软件提供交互式 CMD/PowerShell、文件访问、截屏、载荷部署、加密货币钱包发现以及远程 JavaScript 执行功能

• 持久化机制使用计划任务，并以注册表 Run 键作为后备

• ChainScript 查询 Polygon 智能合约以检索其活跃的 WebSocket C2 地址

• Blackpoint 确认，该合约可以在不重建或重新分发植入体的情况下，将受感染主机重定向到新的后端基础设施

• 研究人员观察到多个构建版本，包括 ComponentTask33、UpdateDigital、HostShared 和 OrchidViolet66

基于区块链的 C2 解析器是其突出能力。

恶意软件运营商没有将命令服务器硬编码到恶意软件中，而是有效利用 Polygon 智能合约作为去中心化的地址簿。因此，封锁一个 C2 域名并不一定能破坏植入体——攻击者可以更新合约并将受感染机器重定向到新的基础设施。

这延续了恶意软件滥用合法去中心化基础设施的更广泛趋势，以使命令与控制机制更具弹性，抵抗拆除行动和静态 IOC 封锁。