Uma investigação da empresa brasileira Swarmy, especializada em soluções de segurança digital e antifraude, identificou uma campanha de malware bancário que utiliza a blockchain Ethereum para distribuir dinamicamente sua infraestrutura de comando e controle (C2), conforme análise revelada hoje ao CISO Advisor. Em vez de depender de domínios fixos, o código malicioso consulta um Smart Contract na rede Ethereum por meio de um gateway público para obter as informações necessárias para a próxima etapa da infecção.
Arquitetura descentralizada e resiliência operacional
Segundo a Swarmy, o malware não conhece previamente o endereço de sua infraestrutura de C2. Antes de iniciar o próximo estágio da infecção, ele consulta o Smart Contract implantado num endereço da rede Ethereum, por meio do gateway dessa rede. A chamada retorna informações que serão utilizadas para localizar a próxima etapa da infecção, sem gerar qualquer alteração na blockchain. Caso um servidor seja identificado e removido, os operadores da campanha podem atualizar a configuração armazenada no contrato sem a necessidade de redistribuir o malware com atualização do C2. O malware permanece o mesmo; apenas a configuração consultada muda.
Cadeia de execução modular e técnicas de evasão
Após recuperar a configuração, o JavaScript, que utiliza módulos nativos do Node.js para comunicação HTTP e manipulação do sistema operacional, realiza verificações de ambiente para evitar execução em sandboxes. O código faz download de novos componentes, carrega assemblies .NET diretamente em memória, emprega Reflection para evitar gravação em disco, executa técnicas de RunPE e injeta código no processo explorer.exe. A persistência é estabelecida por meio de uma tarefa chamada MicrosoftNodeRuntimeUpdater.
Implicações para equipes de segurança
A investigação da Swarmy mostra que, com essa evasão, estratégias de defesa baseadas exclusivamente em listas de bloqueio de domínios e IPs tendem a perder eficácia. O foco passa a migrar para detecção comportamental, monitoramento de chamadas incomuns a gateways públicos de blockchain e correlação entre consultas à blockchain e atividades subsequentes. Os indicadores de comprometimento (IOCs) incluem o RPC (https://ethereum-rpc[.]publicnode[.]com), o contrato Ethereum (0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b), o Consumer ID (98d8049e-804f-11f1-b79f-ae3a8bb85d01) e o caminho remoto (/5c92d3b8734b4f498752f735a1ca0987/98d8049e-804f-11f1-b79f-ae3a8bb85d01).
