Ein Botnet versteckte die Adresse seines Backup-Servers in der Bitcoin-Blockchain selbst

Akamai-Forscher, die ein Botnet etwa zwei Jahre lang verfolgten, beobachteten, wie es einen neuen Überlebenstrick annahm: Wenn sein Command-and-Control-Server gesinkholed wird – die übliche Verteidigungsmaßnahme, die C2-Infrastruktur zu übernehmen –, finden infizierte Maschinen die IP-Adresse des Backup-Servers in der Bitcoin-Blockchain kodiert.

Die Kodierung ist sparsam und exakt: Die beiden jüngsten Transaktionen auf einer von den Betreibern gewählten Wallet tragen die Adresse als Satoshi-Werte, ein Hundertmillionstel eines Bitcoin. Die Malware wandelt jeden Wert in Hexadezimal um, teilt ihn in Bytes auf und setzt vier Oktette wieder zusammen – 36.305 Satoshis werden zu 209.141, 6.957 werden zu 45.27, für einen aktiven Fallback unter 209.141.45.27. Das Ledger ist dezentral, daher gibt es im Gegensatz zu traditionellen Backup-Kanälen keine zentrale Instanz, die abgeschaltet, zensiert oder blockiert werden kann.

Akamai erklärte, es habe noch nie zuvor ein Botnet in freier Wildbahn gesehen, das eine dezentrale Blockchain auf diese Weise nutzt, obwohl es in der Forschung einen Proof-of-Concept für einen Ethereum-basierten Command-Server gab. Kriminelle hatten zuvor bereits verdeckte Kanäle genutzt – VPNFilter, eingesetzt von russischen staatlich unterstützten Hackern gegen 500.000 Router im Jahr 2018, versteckte seine Server-Verweise in GPS-Daten innerhalb von Photobucket-Bildern –, doch diese Plattformen konnten überzeugt oder gezwungen werden zu kooperieren; die Blockchain kann das nicht.

Ein nicht abschaltbares öffentliches Ledger als Fallback-Adressbuch nutzen: eine C2-IP als Satoshi-Werte in gewöhnlichen Bitcoin-Transaktionen kodieren.

Sinkholing funktioniert, indem ein Server abgeschnitten oder beschlagnahmt wird; eine im Ledger gespeicherte Notiz übersteht jede Beschlagnahme.

Bitcoin-Transaktionen sind gewöhnliche wirtschaftliche Aktivität, für Außenstehende nicht von Wallet-Rauschen zu unterscheiden.

Nur die Betreiber benötigen Schreibzugriff; jede infizierte Maschine liest lediglich die öffentliche Chain.

Die Dezentralisierung beseitigt das letzte Mittel, Druck auf einen Hosting-Anbieter oder eine Plattform auszuüben, damit sie löscht.

Jeder öffentliche, unveränderliche Datenspeicher wird zur Infrastruktur für jeden, der Beständigkeit braucht – das Takedown-Playbook der Verteidiger setzt einen Löschknopf voraus, den die Blockchain nicht hat.

Akamai veröffentlichte die Analyse im Februar 2021 und machte damit die Technik – und ihre Grenzen, etwa die beobachtbare Wallet – öffentlich. Forscher merkten an, der Ethereum-Proof-of-Concept zeige, dass der Ansatz auf andere Chains verallgemeinerbar sei; das Katz-und-Maus-Spiel der Botnet-Infrastruktur hatte sich einfach auf ein Ledger ohne Löschtaste verlagert.