Un nuovo loader malware per Windows denominato Aeternum sta utilizzando la blockchain Polygon per stabilire un meccanismo di command-and-control progettato per resistere ai convenzionali tentativi di smantellamento, secondo i ricercatori di Unit 42. Invece di affidarsi a un server o a un dominio convenzionale che può essere sequestrato o bloccato, il malware memorizza le istruzioni operative in uno smart contract Polygon, consentendo ai sistemi infetti di recuperare informazioni da una rete blockchain replicata pubblicamente.

I ricercatori hanno dichiarato che Aeternum può utilizzare gli smart contract Polygon come canale di comando persistente, consentendo agli aggressori di reindirizzare i sistemi infetti senza dipendere da un singolo server, provider di hosting o dominio.

La campagna è stata collegata a diversi campioni di malware che condividono caratteristiche del codice e funzioni degli smart contract. Gli investigatori hanno identificato un loader offuscato, un pacchetto XWorm e XMRig e malware basato su Python camuffato da programma di installazione del software DBeaver. I risultati suggeriscono che l'infrastruttura può supportare molteplici attività dannose, tra cui accesso remoto, furto di informazioni, mining di criptovalute e distribuzione di ulteriore malware.

Unit 42 ha descritto l'operazione come una campagna in evoluzione piuttosto che un singolo file dannoso. I ricercatori hanno registrato oltre 29.000 eventi di rilevamento entro il 4 giugno 2026, a indicare che un'infrastruttura di comando basata su blockchain viene utilizzata su una scala significativa.

Lo smart contract Polygon funge da punto di controllo pubblico

Aeternum utilizza uno smart contract come fonte di istruzioni accessibile pubblicamente per i dispositivi compromessi. Ogni sistema infetto può interrogare i servizi di remote procedure call di Polygon e recuperare un valore del contratto contenente un comando o informazioni che rimandano alla fase successiva dell'attacco.

Questa struttura rappresenta una sfida per i difensori, perché bloccare un sito web dannoso o smantellare un dominio non elimina le informazioni memorizzate sulla blockchain. I team di sicurezza devono invece identificare i sistemi infetti e interrompere il malware localmente, il che rende la telemetria di endpoint e rete più importante rispetto all'affidarsi esclusivamente a controlli basati sui domini.

Il loader utilizza una funzione di recupero del dominio per ottenere una chiave XOR e un dominio di command-and-control crittografato. Una funzione amministrativa consente agli aggressori di modificare la destinazione memorizzata, potenzialmente reindirizzando le infezioni esistenti senza dover ricostruire o ridistribuire l'intero botnet.

Un loader analizzato si è auto-scompattato, ha copiato i componenti nella directory AppData di Windows e ha creato un collegamento in Esecuzione automatica per stabilire la persistenza. Dopo aver contattato Polygon, ha recuperato file aggiuntivi da repository di codice. Una DLL correlata raccoglieva informazioni di sistema e preparava i dati raccolti per la trasmissione tramite Telegram.

I ricercatori hanno inoltre individuato delle debolezze nell'implementazione della crittografia del malware. Esaminando l'indirizzo del contratto e il payload restituito, sono riusciti a recuperare le istruzioni crittografate, compresi i comandi che indirizzano le macchine compromesse a scaricare file aggiuntivi.

Il malware combina accesso, furto e mining di criptovalute

Un secondo campione ha utilizzato lo stesso meccanismo di ricerca basato su blockchain per ottenere un percorso Pastebin contenente una configurazione XMRig. Il malware ha poi distribuito XWorm, uno strumento di accesso remoto, insieme a un miner di criptovalute. In una fase successiva, ha trasmesso informazioni crittografate sulle vittime a una destinazione esterna.

La campagna includeva anche codice Python camuffato da programma di installazione legittimo di DBeaver. Il campione era progettato per rifiutare determinati ambienti di analisi leggeri, stabilire la persistenza e iniettare codice in un processo Windows firmato prima che i meccanismi di monitoraggio della sicurezza fossero pienamente attivi.

Il ramo basato su Python includeva funzionalità volte a colpire le credenziali memorizzate da oltre 55 estensioni browser per criptovalute e 10 portafogli desktop, ampliando la campagna oltre la semplice compromissione del sistema.

In questo ramo Telegram è stato utilizzato per ricognizione ed esfiltrazione di dati. I ricercatori hanno inoltre trovato dati JSON riempiti di elementi spuri pensati per rendere l'attività di rete dannosa meno evidente durante l'analisi.

La combinazione di infrastruttura blockchain e servizi online convenzionali offre agli operatori una notevole flessibilità. Polygon può fornire il meccanismo di ricerca persistente, mentre servizi come repository di codice, Pastebin e Telegram possono gestire la distribuzione del malware e il movimento dei dati rubati.

I team di sicurezza invitati a monitorare il traffico blockchain

L'emergere di Aeternum evidenzia una sfida più ampia per i difensori, mentre gli aggressori sperimentano l'uso di blockchain pubbliche per le infrastrutture di comando. Poiché i dati degli smart contract vengono replicati attraverso la rete, il blocco convenzionale dei domini e gli smantellamenti dei provider di hosting possono avere un'efficacia limitata.

I team di sicurezza dovrebbero monitorare l'attività insolita di JSON-RPC su Polygon e correlare le query blockchain con download, collegamenti in Esecuzione automatica di Windows, iniezione di codice nei processi e connessioni alle API di Telegram. Dovrebbero inoltre esaminare i processi avviati da directory scrivibili dall'utente e analizzare le comunicazioni in uscita che avvengono immediatamente dopo le ricerche sulla blockchain.

La capacità di modificare le destinazioni tramite funzioni degli smart contract potrebbe consentire agli operatori di reindirizzare le infezioni esistenti senza ricostruire il botnet, aumentando la resilienza e la flessibilità operativa della campagna.

I ricercatori si aspettano che le infrastrutture di botnet basate su blockchain rimangano un'area di preoccupazione mentre i criminali cercano alternative ai server di comando centralizzati. Per i difensori, il rilevamento basato sul comportamento e la correlazione tra telemetria di endpoint, di rete e relativa alla blockchain potrebbero diventare sempre più importanti per identificare tali operazioni.