Una botnet ocultó la dirección de su servidor de respaldo en la propia cadena de bloques de bitcoin

Investigadores de Akamai que siguieron una botnet durante unos dos años observaron que adoptó un nuevo truco de supervivencia: cuando su servidor de mando y control es sinkholeado —la maniobra defensiva estándar de hacerse con la infraestructura C2—, las máquinas infectadas encuentran la dirección IP del servidor de respaldo codificada en la cadena de bloques de bitcoin.

La codificación es escueta y exacta: las dos transacciones más recientes de una cartera elegida por los operadores llevan la dirección como valores en satoshis, la cienmillonésima parte de un bitcoin. El malware convierte cada valor a hexadecimal, lo divide en bytes y recompone cuatro octetos: 36.305 satoshis se convierte en 209.141, 6.957 se convierte en 45.27, para un respaldo activo en 209.141.45.27. El registro es descentralizado, así que, a diferencia de los canales de respaldo tradicionales, no hay una autoridad central a la que desmantelar, censurar o bloquear.

Akamai dijo que nunca antes había visto una botnet en estado salvaje usar una cadena de bloques descentralizada de este modo, aunque en el ámbito de la investigación existía una prueba de concepto de servidor de mando basado en Ethereum. Los delincuentes ya habían usado canales encubiertos antes —VPNFilter, desplegado por piratas respaldados por el gobierno ruso contra 500.000 routers en 2018, escondía sus punteros de servidor en datos GPS dentro de imágenes de Photobucket—, pero a esas plataformas se las podía persuadir o forzar a cooperar; la cadena de bloques no.

Usar un registro público imposible de desmantelar como libreta de direcciones de respaldo: codificar una IP de C2 como valores en satoshis en transacciones de bitcoin ordinarias.

El sinkholing funciona cortando o incautando un servidor; una nota almacenada en el registro sobrevive a cualquier incautación.

Las transacciones de bitcoin son actividad económica ordinaria, indistinguibles del ruido de carteras para los observadores externos.

Solo los operadores necesitan acceso de escritura; cada máquina infectada se limita a leer la cadena pública.

La descentralización elimina el último recurso de presionar a un proveedor de alojamiento o a una plataforma para que borre.

Cualquier almacén de datos público e inmutable se convierte en infraestructura para quien necesite permanencia: el manual de desmantelamiento de los defensores da por sentado un botón de borrar que la cadena de bloques no tiene.

Akamai publicó el análisis en febrero de 2021, haciendo pública la técnica —y sus límites, como la cartera observable—. Los investigadores señalaron que la prueba de concepto de Ethereum mostraba que el enfoque se generaliza a otras cadenas; el juego del gato y el ratón de la infraestructura de botnets simplemente se había trasladado a un registro sin tecla de borrar.