Ein neuer Windows-Malware-Loader namens Aeternum nutzt laut Forschern von Unit 42 die Polygon-Blockchain, um einen Command-and-Control-Mechanismus aufzubauen, der darauf ausgelegt ist, herkömmlichen Abschaltungsversuchen zu widerstehen. Anstatt sich auf einen herkömmlichen Server oder eine Domain zu verlassen, die beschlagnahmt oder blockiert werden können, speichert die Schadsoftware operative Anweisungen in einem Polygon-Smart-Contract, sodass befallene Systeme Informationen aus einem öffentlich replizierten Blockchain-Netzwerk abrufen können.

Die Forscher erklärten, dass Aeternum Polygon-Smart-Contracts als dauerhaften Befehlskanal nutzen kann, was Angreifern ermöglicht, befallene Systeme umzuleiten, ohne von einem einzelnen Server, Hosting-Anbieter oder einer einzelnen Domain abhängig zu sein.

Die Kampagne wurde mit mehreren Malware-Samples in Verbindung gebracht, die Code-Merkmale und Smart-Contract-Funktionen gemeinsam haben. Die Ermittler identifizierten einen gepackten Loader, ein Paket aus XWorm und XMRig sowie Python-basierte Schadsoftware, die als DBeaver-Software-Installer getarnt war. Die Erkenntnisse deuten darauf hin, dass die Infrastruktur mehrere schadhafte Aktivitäten unterstützen kann, darunter Fernzugriff, Informationsdiebstahl, Kryptowährungs-Mining und die Bereitstellung zusätzlicher Schadsoftware.

Unit 42 beschrieb die Operation als eine sich weiterentwickelnde Kampagne und nicht als eine einzelne schadhafte Datei. Die Forscher verzeichneten bis zum 4. Juni 2026 mehr als 29.000 Erkennungsereignisse, was darauf hindeutet, dass eine blockchaingestützte Befehlsinfrastruktur in erheblichem Umfang eingesetzt wird.

Polygon-Smart-Contract fungiert als öffentlicher Kontrollpunkt

Aeternum nutzt einen Smart-Contract als öffentlich zugängliche Quelle für Anweisungen für kompromittierte Geräte. Jedes befallene System kann Remote-Procedure-Call-Dienste von Polygon abfragen und einen Contract-Wert abrufen, der entweder einen Befehl oder Informationen enthält, die auf die nächste Phase des Angriffs verweisen.

Diese Struktur stellt Verteidiger vor eine Herausforderung, da das Blockieren einer bösartigen Website oder die Abschaltung einer Domain die in der Blockchain gespeicherten Informationen nicht entfernt. Sicherheitsteams müssen stattdessen befallene Systeme identifizieren und die Schadsoftware lokal unterbinden, wodurch Endpoint- und Netzwerk-Telemetrie wichtiger wird als das alleinige Verlassen auf domänenbasierte Kontrollen.

Der Loader nutzt eine Domain-Abruffunktion, um einen XOR-Schlüssel und eine verschlüsselte Command-and-Control-Domain zu erhalten. Eine administrative Funktion ermöglicht es Angreifern, das gespeicherte Ziel zu ändern und damit potenziell bestehende Infektionen umzuleiten, ohne das gesamte Botnetz neu aufzubauen oder erneut bereitzustellen.

Ein analysierter Loader entpackte sich selbst, kopierte Komponenten in das Windows-AppData-Verzeichnis und erstellte eine Startup-Verknüpfung, um Persistenz herzustellen. Nach dem Kontakt mit Polygon lud er zusätzliche Dateien aus Code-Repositorys herunter. Eine zugehörige DLL sammelte Systeminformationen und bereitete die gesammelten Daten für die Übertragung über Telegram auf.

Die Forscher identifizierten zudem Schwachstellen in der Verschlüsselungsimplementierung der Schadsoftware. Durch die Untersuchung der Contract-Adresse und der zurückgegebenen Payload konnten sie verschlüsselte Anweisungen wiederherstellen, darunter Befehle, die kompromittierte Maschinen anwiesen, zusätzliche Dateien herunterzuladen.

Malware vereint Zugriff, Datendiebstahl und Kryptowährungs-Mining

Ein zweites Sample nutzte denselben blockchainbasierten Abrufmechanismus, um eine Pastebin-Position zu erhalten, die eine XMRig-Konfiguration enthielt. Die Schadsoftware setzte anschließend XWorm, ein Fernzugriffswerkzeug, zusammen mit einem Kryptowährungs-Miner ein. In einer späteren Phase übertrug sie verschlüsselte Informationen über Opfer an ein externes Ziel.

Die Kampagne umfasste zudem Python-Code, der als legitimer DBeaver-Installer getarnt war. Das Sample war darauf ausgelegt, bestimmte leichtgewichtige Analyseumgebungen abzuweisen, Persistenz herzustellen und Code in einen signierten Windows-Prozess zu injizieren, bevor die Sicherheitsüberwachungsmechanismen vollständig aktiv waren.

Der Python-basierte Zweig enthielt Funktionen, die auf Zugangsdaten abzielten, die von mehr als 55 Kryptowährungs-Browser-Erweiterungen und 10 Desktop-Wallets gespeichert wurden, wodurch die Kampagne über eine einfache Systemkompromittierung hinausging.

In diesem Zweig wurde Telegram für Reconnaissance und Datenexfiltration genutzt. Die Forscher fanden außerdem mit Fülldaten überladene JSON-Daten, die dazu dienen sollten, bösartige Netzwerkaktivitäten während der Analyse weniger offensichtlich zu machen.

Die Kombination aus Blockchain-Infrastruktur und herkömmlichen Onlinediensten gibt den Betreibern beträchtliche Flexibilität. Polygon kann den dauerhaften Abrufmechanismus bereitstellen, während Dienste wie Code-Repositorys, Pastebin und Telegram die Bereitstellung von Schadsoftware und die Weiterleitung gestohlener Daten übernehmen können.

Sicherheitsteams aufgefordert, Blockchain-Datenverkehr zu überwachen

Das Auftauchen von Aeternum verdeutlicht eine weiterreichende Herausforderung für Verteidiger, da Angreifer mit öffentlichen Blockchains für Befehlsinfrastrukturen experimentieren. Da Smart-Contract-Daten im gesamten Netzwerk repliziert werden, können herkömmliche Domain-Blockierungen und Abschaltungen durch Hosting-Anbieter nur begrenzt wirksam sein.

Sicherheitsteams sollten ungewöhnliche Polygon-JSON-RPC-Aktivitäten überwachen und Blockchain-Abfragen mit Downloads, Windows-Startup-Verknüpfungen, Prozessinjektion und Telegram-API-Verbindungen korrelieren. Sie sollten zudem Prozesse untersuchen, die aus benutzerbeschreibbaren Verzeichnissen gestartet werden, und ausgehende Kommunikationen prüfen, die unmittelbar nach Blockchain-Abfragen erfolgen.

Die Möglichkeit, Ziele über Smart-Contract-Funktionen zu ändern, könnte es Betreibern erlauben, bestehende Infektionen umzuleiten, ohne das Botnetz neu aufzubauen, was die Widerstandsfähigkeit und operative Flexibilität der Kampagne erhöht.

Die Forscher erwarten, dass blockchainbasierte Botnetz-Infrastruktur ein fortgesetztes Anliegen bleiben wird, da Kriminelle nach Alternativen zu zentralisierten Befehlsservern suchen. Für Verteidiger könnten verhaltensbasierte Erkennung und die Korrelation von Endpoint-, Netzwerk- und blockchainbezogener Telemetrie bei der Identifizierung solcher Operationen zunehmend an Bedeutung gewinnen.