Unit 42の研究者によると、Aeternumと呼ばれる新たなWindowsマルウェアローダーが、Polygonブロックチェーンを利用して、従来のテイクダウン対策に耐える設計のコマンドアンドコントロール(C&C)機構を構築している。差し押さえやブロックが可能な従来型のサーバーやドメインに依存する代わりに、このマルウェアは運用上の指示をPolygonのスマートコントラクトに格納しており、感染したシステムは公開的に複製されたブロックチェーンネットワークから情報を取得できる。

研究者によれば、AeternumはPolygonのスマートコントラクトを永続的なコマンドチャネルとして利用でき、攻撃者は単一のサーバー、ホスティングプロバイダー、ドメインに依存せずに感染システムをリダイレクトできるという。

このキャンペーンは、コードの特徴とスマートコントラクト機能を共有する複数のマルウェアサンプルと関連付けられている。調査担当者は、パッキングされたローダー、XWormとXMRigのパッケージ、DBeaverソフトウェアインストーラーに偽装したPythonベースのマルウェアを特定した。調査結果は、このインフラがリモートアクセス、情報窃取、暗号通貨マイニング、追加マルウェアの配信を含む複数の悪意ある活動を支えられることを示唆している。

Unit 42はこの活動を、単一の悪意あるファイルではなく、進化を続けるキャンペーンと説明した。研究者は2026年6月4日までに29,000件を超える検出イベントを記録しており、ブロックチェーンを基盤とするコマンドインフラが相当な規模で使用されていることを示している。

Polygonスマートコントラクトが公開のコントロールポイントとして機能

Aeternumは、侵害されたデバイス向けの指示源として、公開アクセス可能なスマートコントラクトを利用している。各感染システムはPolygonのリモートプロシージャコールサービスに問い合わせ、コマンドまたは攻撃の次段階を指し示す情報を含むコントラクト値を取得できる。

この構造は防御者にとって課題をもたらす。悪意あるウェブサイトのブロックやドメインのテイクダウンでは、ブロックチェーンに保存された情報を削除できないためだ。セキュリティチームは代わりに感染システムを特定し、ローカルでマルウェアを妨害する必要があり、ドメインベースの対策のみに頼るよりも、エンドポイントおよびネットワークのテレメトリーが重要になる。

このローダーは、ドメイン取得関数を使用してXOR鍵と暗号化されたコマンドアンドコントロールドメインを取得する。管理機能により攻撃者は保存された接続先を変更でき、ボットネット全体を再構築または再配備することなく、既存の感染をリダイレクトする可能性がある。

解析された1つのローダーは、自らアンパックしてコンポーネントをWindowsのAppDataディレクトリにコピーし、永続性を確立するためにスタートアップショートカットを作成した。Polygonに接続した後、コードリポジトリから追加ファイルを取得した。関連するDLLはシステム情報を収集し、収集したデータをTelegram経由で送信する準備を行った。

研究者はまた、マルウェアの暗号化実装の弱点も特定した。コントラクトアドレスと返されたペイロードを調査することで、侵害されたマシンに追加ファイルのダウンロードを指示するコマンドを含む、暗号化された指示を復元できた。

マルウェアがアクセス、窃取、暗号通貨マイニングを組み合わせる

2つ目のサンプルは、同じブロックチェーンベースのルックアップ機構を使用して、XMRigの設定を含むPastebinの場所を取得した。このマルウェアはその後、暗号通貨マイナーと並行して、リモートアクセスツールであるXWormを配備した。後の段階では、被害者に関する暗号化された情報を外部の送信先に送信した。

このキャンペーンには、正当なDBeaverインストーラーに偽装したPythonコードも含まれていた。このサンプルは、特定の軽量な解析環境を拒否し、永続性を確立し、セキュリティ監視メカニズムが完全に活動する前に、署名されたWindowsプロセスにコードを注入する設計だった。

Pythonベースの分岐には、55種類を超える暗号通貨ブラウザ拡張機能と10種類のデスクトップウォレットに保存された認証情報を標的とする機能が含まれており、キャンペーンの範囲が基本的なシステム侵害を超えて拡大している。

この分岐では、Telegramが偵察とデータ窃出に使用された。研究者はまた、解析中に悪意あるネットワーク活動を目立たなくするための、不要データが詰め込まれたJSONデータも発見した。

ブロックチェーンインフラと従来のオンラインサービスの組み合わせは、運用者に相当な柔軟性を与えている。Polygonが永続的なルックアップ機構を提供できる一方、コードリポジトリ、Pastebin、Telegramなどのサービスがマルウェアの配信と窃取データの移動を担える。

セキュリティチームにブロックチェーントラフィックの監視を促す動き

Aeternumの出現は、攻撃者がコマンドインフラにパブリックブロックチェーンを実験的に利用する中で、防御者にとってのより広範な課題を浮き彫りにしている。スマートコントラクトのデータはネットワーク全体に複製されるため、従来のドメインブロックやホスティングプロバイダーのテイクダウンは効果が限定的になる可能性がある。

セキュリティチームは、異常なPolygon JSON-RPCアクティビティを監視し、ブロックチェーンへのクエリをダウンロード、Windowsのスタートアップショートカット、プロセスインジェクション、Telegram API接続と相関分析すべきである。また、ユーザーが書き込み可能なディレクトリから起動されたプロセスを調査し、ブロックチェーンのルックアップ直後に発生する外向き通信を精査すべきである。

スマートコントラクト機能を通じて接続先を変更できる能力により、運用者はボットネットを再構築せずに既存の感染をリダイレクトでき、キャンペーンの耐障害性と運用上の柔軟性が高まる可能性がある。

研究者は、犯罪者が中央集権型コマンドサーバーの代替を求める中、ブロックチェーンベースのボットネットインフラが引き続き懸念領域にとどまると予測している。防御者にとっては、エンドポイント、ネットワーク、ブロックチェーン関連のテレメトリーにわたる行動ベースの検出と相関分析が、このような活動を特定する上でますます重要になるとみられる。