一個殭屍網路將備援伺服器位址藏在比特幣區塊鏈本身

Akamai 研究人員追蹤一個殭屍網路約兩年，觀察到它採用了一種新的存活手法：當其命令與控制伺服器被 sinkhole（防禦方接管 C2 基礎設施的標準做法）時，受感染的機器會從比特幣區塊鏈中找到以編碼形式藏入的備援伺服器 IP 位址。

編碼方式精簡而精確：由操作者選定的一個錢包上最近兩筆交易，以 Satoshi 數值（一億分之一枚比特幣）承載該位址。惡意程式將每個數值轉為十六進位、拆成位元組，再重組為四個八位元組——36,305 satoshis 變成 209.141，6,957 變成 45.27，構成一個實際可用的備援位址 209.141.45.27。該帳本為去中心化，因此與傳統備援通道不同，沒有中央機構可以將其下架、審查或封鎖。

Akamai 表示，此前從未見過在野殭屍網路以這種方式使用去中心化區塊鏈，儘管研究中曾存在一個以以太坊為基礎的命令伺服器概念驗證。犯罪分子過去也曾使用隱蔽通道——2018 年由俄羅斯政府支持的駭客部署的 VPNFilter 對 500,000 台路由器發動攻擊，將其伺服器指標藏在 Photobucket 圖片內的 GPS 資料中——但那些平台可以被說服或被迫配合；區塊鏈則不能。

把無法被下架的公開帳本當作備援位址簿：將 C2 IP 以 Satoshi 數值編碼進普通的比特幣交易中。

Sinkholing 的運作方式是切斷或奪取伺服器；而存放在帳本中的註記能挺過任何奪取。

比特幣交易屬於普通經濟活動，對外人而言與錢包雜訊無從區分。

只有操作者需要寫入權限；每台受感染機器只需讀取公開鏈。

去中心化移除了向主機供應商或平台施壓要求刪除的最後手段。

任何公開、不可變的資料存放區，都能成為需要永久性者的基礎設施——防禦方的下架劇本假定存在一個刪除按鈕，而區塊鏈並沒有。

Akamai 於 2021 年 2 月發表該分析，使這項技術——及其限制，例如可被監視的錢包——公諸於世。研究人員指出，以太坊的概念驗證顯示此手法可推廣到其他鏈；殭屍網路基礎設施的貓捉老鼠遊戲，只是轉移到了一個沒有刪除鍵的帳本上。