Un nouveau chargeur de logiciel malveillant Windows baptisé Aeternum utilise la blockchain Polygon pour mettre en place un mécanisme de commande et de contrôle conçu pour résister aux opérations de démantèlement conventionnelles, selon les chercheurs de Unit 42. Plutôt que de s'appuyer sur un serveur ou un domaine classique pouvant être saisi ou bloqué, le logiciel malveillant stocke ses instructions opérationnelles dans un contrat intelligent Polygon, permettant aux systèmes infectés de récupérer des informations depuis un réseau blockchain répliqué publiquement.

Les chercheurs ont indiqué qu'Aeternum peut utiliser les contrats intelligents Polygon comme canal de commande persistant, permettant aux attaquants de rediriger les systèmes infectés sans dépendre d'un serveur unique, d'un fournisseur d'hébergement ou d'un domaine.

La campagne a été reliée à plusieurs échantillons de logiciels malveillants partageant des caractéristiques de code et des fonctions de contrat intelligent. Les enquêteurs ont identifié un chargeur compacté, un ensemble regroupant XWorm et XMRig, ainsi qu'un logiciel malveillant basé sur Python déguisé en installateur du logiciel DBeaver. Ces résultats suggèrent que l'infrastructure peut prendre en charge de multiples activités malveillantes, notamment l'accès à distance, le vol d'informations, le minage de cryptomonnaies et la livraison de logiciels malveillants supplémentaires.

Unit 42 a décrit l'opération comme une campagne en évolution plutôt que comme un simple fichier malveillant isolé. Les chercheurs ont recensé plus de 29 000 événements de détection au 4 juin 2026, ce qui indique que l'infrastructure de commande adossée à une blockchain est utilisée à une échelle significative.

Le contrat intelligent Polygon sert de point de contrôle public

Aeternum utilise un contrat intelligent comme source d'instructions accessible publiquement pour les appareils compromis. Chaque système infecté peut interroger les services d'appel de procédure à distance de Polygon et récupérer une valeur de contrat contenant soit une commande, soit des informations pointant vers l'étape suivante de l'attaque.

Cette structure complique la tâche des défenseurs, car le blocage d'un site web malveillant ou la suppression d'un domaine n'efface pas les informations stockées sur la blockchain. Les équipes de sécurité doivent plutôt identifier les systèmes infectés et neutraliser le logiciel malveillant localement, ce qui rend la télémétrie des terminaux et du réseau plus importante que le seul recours aux contrôles basés sur les domaines.

Le chargeur utilise une fonction de récupération de domaine pour obtenir une clé XOR et un domaine de commande et de contrôle chiffré. Une fonction administrative permet aux attaquants de modifier la destination stockée, et ainsi potentiellement de rediriger les infections existantes sans avoir à reconstruire ou à redéployer l'ensemble du botnet.

L'un des chargeurs analysés s'est décompacté lui-même, a copié des composants dans le répertoire AppData de Windows et a créé un raccourci dans le dossier de démarrage afin d'assurer sa persistance. Après avoir contacté Polygon, il a récupéré des fichiers supplémentaires depuis des dépôts de code. Une DLL associée collectait des informations système et préparait les données recueillies en vue de leur transmission via Telegram.

Les chercheurs ont également relevé des faiblesses dans l'implémentation du chiffrement du logiciel malveillant. En examinant l'adresse du contrat et la charge utile renvoyée, ils ont pu reconstituer les instructions chiffrées, notamment des commandes ordonnant aux machines compromises de télécharger des fichiers supplémentaires.

Un logiciel malveillant combinant accès à distance, vol et minage de cryptomonnaies

Un second échantillon utilisait le même mécanisme de recherche fondé sur la blockchain pour obtenir un emplacement Pastebin contenant une configuration XMRig. Le logiciel malveillant a ensuite déployé XWorm, un outil d'accès à distance, aux côtés d'un mineur de cryptomonnaies. À un stade ultérieur, il a transmis des informations chiffrées sur les victimes vers une destination externe.

La campagne comprenait également du code Python déguisé en installateur légitime de DBeaver. Cet échantillon était conçu pour rejeter certains environnements d'analyse légers, établir sa persistance et injecter du code dans un processus Windows signé avant que les mécanismes de surveillance de sécurité ne soient pleinement actifs.

La branche basée sur Python incluait des capacités ciblant les identifiants stockés par plus de 55 extensions de navigateur dédiées aux cryptomonnaies et 10 portefeuilles de bureau, étendant la campagne au-delà de la simple compromission du système.

Telegram a été utilisé pour la reconnaissance et l'exfiltration de données dans cette branche. Les chercheurs ont également découvert des données JSON remplies d'éléments parasites destinées à rendre l'activité réseau malveillante moins évidente lors de l'analyse.

L'association d'une infrastructure blockchain et de services en ligne conventionnels offre aux opérateurs une flexibilité considérable. Polygon peut fournir le mécanisme de recherche persistant, tandis que des services tels que les dépôts de code, Pastebin et Telegram peuvent gérer la livraison du logiciel malveillant et le transfert des données volées.

Les équipes de sécurité invitées à surveiller le trafic blockchain

L'émergence d'Aeternum met en évidence un défi plus large pour les défenseurs, alors que les attaquants expérimentent les blockchains publiques pour leur infrastructure de commande. Étant donné que les données des contrats intelligents sont répliquées à travers le réseau, le blocage de domaine conventionnel et les démantèlements de fournisseurs d'hébergement peuvent avoir une efficacité limitée.

Les équipes de sécurité devraient surveiller les activités JSON-RPC Polygon inhabituelles et corréler les requêtes blockchain avec les téléchargements, les raccourcis de démarrage Windows, l'injection de processus et les connexions à l'API Telegram. Elles devraient également enquêter sur les processus lancés depuis des répertoires accessibles en écriture par l'utilisateur et examiner les communications sortantes intervenant immédiatement après les recherches blockchain.

La possibilité de modifier les destinations via des fonctions de contrat intelligent pourrait permettre aux opérateurs de rediriger les infections existantes sans reconstruire le botnet, renforçant ainsi la résilience et la flexibilité opérationnelle de la campagne.

Les chercheurs s'attendent à ce que l'infrastructure de botnet basée sur la blockchain demeure un sujet de préoccupation alors que les criminels recherchent des alternatives aux serveurs de commande centralisés. Pour les défenseurs, la détection basée sur le comportement et la corrélation des télémétries des terminaux, du réseau et liées à la blockchain pourraient devenir de plus en plus importantes pour identifier ce type d'opérations.