Um botnet escondeu o endereço de seu servidor de backup na própria blockchain do bitcoin

Pesquisadores da Akamai que monitoravam um botnet havia cerca de dois anos observaram que ele adotou um novo truque de sobrevivência: quando seu servidor de comando e controle é sinkholed — a manobra padrão dos defensores de assumir a infraestrutura de C2 —, as máquinas infectadas encontram o endereço IP do servidor de backup codificado na própria blockchain do bitcoin.

A codificação é enxuta e exata: as duas transações mais recentes de uma carteira escolhida pelos operadores carregam o endereço como valores em satoshis, a centésima milionésima parte de um bitcoin. O malware converte cada valor em hexadecimal, divide-o em bytes e remonta quatro octetos — 36.305 satoshis viram 209.141, 6.957 viram 45.27, para um fallback ativo em 209.141.45.27. O livro-razão é descentralizado, então, ao contrário dos canais de backup tradicionais, não há uma autoridade central para derrubar, censurar ou bloquear.

A Akamai disse que nunca antes tinha visto um botnet em atividade usar uma blockchain descentralizada dessa forma, embora existisse na pesquisa um servidor de comando baseado em Ethereum como prova de conceito. Criminosos já haviam usado canais encobertos antes — o VPNFilter, implantado por hackers apoiados pelo governo russo contra 500.000 roteadores em 2018, escondia seus ponteiros de servidor em dados de GPS dentro de imagens do Photobucket —, mas essas plataformas podiam ser persuadidas ou forçadas a cooperar; a blockchain não pode.

Usar um livro-razão público impossível de derrubar como agenda de endereços de contingência: codificar um IP de C2 como valores em satoshis em transações comuns de bitcoin.

O sinkholing funciona cortando ou tomando um servidor; um recado armazenado no livro-razão sobrevive a qualquer apreensão.

Transações de bitcoin são atividade econômica comum, indistinguíveis do ruído de carteiras para quem está de fora.

Só os operadores precisam de acesso de escrita; cada máquina infectada apenas lê a cadeia pública.

A descentralização elimina o último recurso de pressionar um provedor de hospedagem ou plataforma a apagar.

Qualquer armazenamento de dados público e imutável vira infraestrutura para quem precisa de permanência — o manual de derrubada dos defensores pressupõe um botão de apagar que a blockchain não tem.

A Akamai publicou a análise em fevereiro de 2021, tornando a técnica — e seus limites, como a carteira que pode ser vigiada — pública. Pesquisadores observaram que a prova de conceito em Ethereum mostrava que a abordagem se generaliza para outras cadeias; o jogo de gato e rato da infraestrutura de botnets simplesmente havia se mudado para um livro-razão sem tecla de apagar.