Ny skadevare slår opp styringsserveren sin i en kontrakt på Polygon

Sikkerhetsselskapet Blackpoint offentliggjorde 18. september 2026 en analyse av ChainScript, en fjernstyringstrojan skrevet i Node.js. Selskapets Adversary Pursuit Group fant den mens de undersøkte ClickFix-aktivitet, der offeret selv blir bedt om å lime inn og kjøre en kommando. Kommandoen starter msiexec.exe og henter en installasjonsfil, og de fire byggene Blackpoint beskriver utgir seg for å være Spotify, Zoom Workplace eller Microsoft Teams. Filen pakker ut sitt eget Node.js-kjøremiljø og starter en agent skrevet i JavaScript, gjennom skjulte trinn i PowerShell og VBScript. Operatøren får interaktiv tilgang til kommandolinjen i cmd og PowerShell, filoverføring, skjermbilder, kjøring av nye nyttelaster og en oversikt over kryptolommebøkene på maskinen.

Konfigurasjonen inneholder en WebSocket-adresse, men agenten er ikke bundet til den. Den spør en kontrakt på Polygon om hvilken adresse som er aktiv, og bruker svaret i stedet for det som ligger lagret. Svaret mellomlagres i fem minutter. Under analysen fikk Blackpoint først oppgitt en adresse på port 3847, og da økten ble brutt om lag en halvtime senere, svarte den samme kontrakten med et annet vertsnavn og en annen port. Blackpoint beskriver framgangsmåten som EtherHiding-lignende. Teknikken dukket opp i september 2023, ifølge Google Threat Intelligence Group. Blackpoint oppgir at oppslaget gjøres med et eth_call, altså et leseanrop. Slike anrop koster ingen gebyr og etterlater ingen transaksjon på kjeden, skriver Google Threat Intelligence Group om teknikken.

Fotfestet på maskinen krever ingen administratorrettigheter. En skjult planlagt oppgave starter agenten ved pålogging, og en oppstartsnøkkel i brukerens eget register ligger som reserve hvis oppgaven ikke lar seg opprette. Blackpoint fant ingen egen funksjon for å hente ut passord, informasjonskapsler eller nøkler til lommebøkene, men understreker at tilgangen til kommandolinjen og filene gjør det mulig å samle inn slikt for hånd. Rapporten oppgir verken bransjer, land eller antall rammede virksomheter. Blackpoint knytter ikke ChainScript til noen kjent gruppe eller stat. Selskapet viser til to andre familier, Tsundere og EtherRAT, som kombinerer Node.js, falske installasjonsfiler og oppslag på blokkjeden på samme måte, og skriver at slike arkitektoniske likheter ikke fastslår felles utvikler eller operatør.

Hva det betyr for deg som drifter klientmaskinene

Den vanlige reaksjonen på en ny trojan er å sperre adressene den snakker med. Her er adressene ferskvare, og Blackpoint så dem skifte i løpet av en halvtime mens de fulgte trafikken. Det som holder seg over tid, er oppførselen. En kjede der msiexec starter wscript, som i sin tur starter node fra brukerens eget profilområde, hører ikke hjemme på en kontormaskin. Like påfallende er en klient som kontakter et RPC-endepunkt for en blokkjede og kort etter åpner en utgående WebSocket-forbindelse. Vi mener den kombinasjonen er det billigste stedet å begynne. Blackpoint advarer selv mot å sperre offentlige RPC-tjenester i sin helhet, og vår erfaring er at mye legitim programvare bruker dem.

Legg merke til at ingenting i forløpet krever administratorrettigheter. Har du brukt år på å ta lokal administrator fra brukerne, er det verdt å vite at både oppstarten og fotfestet ligger i brukerens eget område, der de vanlige kontrollene dine ikke nødvendigvis ser etter. Veien inn var heller ikke et hull i programvare. Det var et menneske som ble bedt om å lime inn en kommando, og som gjorde det. Finner du agenten på en maskin, har operatøren hatt kommandolinjen, filene og skjermbildene derfra, og du bør regne passordene som har vært i bruk på maskinen som tapt.

Berigo anbefaler

• Jakt på kjeden der msiexec starter wscript, som starter node fra brukerens profilområde, og gjør funnet til et varsel og ikke et søk du kjører når du husker det.
• Varsle på klientmaskiner som kontakter RPC-tjenester for blokkjeder, særlig når en utgående WebSocket-forbindelse følger rett etterpå.
• Begrens hvem som kan installere MSI-filer selv, og steng dialogboksen Kjør for dem som ikke trenger den.
• Lær brukerne at en nettside som ber dem trykke Win+R og lime inn en kommando, er selve angrepet og ikke en løsning på et problem.
• Behandle et treff som et fullt innbrudd: isoler maskinen, se etter neste trinn, bytt passordene som har vært i bruk på den, og sett den opp på nytt.