ボットネットがバックアップサーバーのアドレスをビットコインブロックチェーン自体に隠した

約2年間にわたりあるボットネットを追跡していたAkamaiの研究者たちは、それが新たな生き残り策を採用するのを目撃した。コマンドアンドコントロール（C2）サーバーがシンクホール化されたとき——C2インフラを乗っ取るという防御側の定番の手口——感染したマシンは、ビットコインブロックチェーンに符号化されたバックアップサーバーのIPアドレスを見つけ出す。

符号化は簡潔かつ正確である。運営者が選んだウォレットの直近2件のトランザクションが、ビットコインの1億分の1であるSatoshi値としてアドレスを運んでいる。マルウェアは各値を16進数に変換し、バイトに分割し、4つのオクテットとして再構成する——36,305 satoshiは209.141に、6,957は45.27になり、209.141.45.27という稼働中のフォールバック先が得られる。台帳は分散化されているため、従来のバックアップ経路とは異なり、テイクダウンや検閲、ブロックを行う中央機関が存在しない。

Akamaiは、実際に稼働中のボットネットがこのように分散型ブロックチェーンを利用した例はこれまで見たことがないと述べたが、研究段階ではイーサリアムを基盤とした実証用のコマンドサーバーが存在していた。犯罪者たちは以前にも隠蔽チャネルを利用していた——2018年にロシア政府の支援を受けたハッカーが50万台のルーターに対して展開したVPNFilterは、Photobucket画像内のGPSデータにサーバーのポインタを隠していた——しかし、それらのプラットフォームは協力を説得されたり強制されたりする可能性があった。ブロックチェーンにはそれができない。

テイクダウン不可能な公開台帳をフォールバックのアドレス帳として使う。C2のIPアドレスを、通常のビットコイントランザクションにおけるSatoshi値として符号化する。

シンクホール化はサーバーを切断または押収することで機能するが、台帳に保存されたメモはどのような押収にも耐える。

ビットコインのトランザクションは通常の経済活動であり、外部から見ればウォレットのノイズと区別がつかない。

書き込みアクセスを必要とするのは運営者だけであり、感染した各マシンは公開チェーンを読み取るだけでよい。

分散化により、ホスティングプロバイダーやプラットフォームに削除を圧力するという最後の手段がなくなる。

公開され不変のデータストアは、永続性を必要とする者にとってのインフラとなる——防御側のテイクダウンの手順書は、ブロックチェーンには存在しない削除ボタンを前提としている。

Akamaiは2021年2月に分析を公開し、この手法——および監視可能なウォレットといったその限界——を公にした。研究者たちは、イーサリアムの実証実験がこのアプローチが他のチェーンにも一般化することを示していたと指摘した。ボットネットインフラをめぐるいたちごっこは、ただ削除キーのない台帳へと移っただけだった。