網(wǎng)絡(luò)安全研究人員近日披露了一個名為Aeternum C2的新型僵尸網(wǎng)絡(luò)加載器詳情，該惡意軟件采用基于區(qū)塊鏈的命令和控制基礎(chǔ)設(shè)施，使其能夠抵御傳統(tǒng)的打擊措施。

"Aeternum不依賴傳統(tǒng)服務(wù)器或域名進行命令控制，而是將指令存儲在公共Polygon區(qū)塊鏈上，"Qrator Labs在與The Hacker News分享的報告中表示。"這一網(wǎng)絡(luò)被去中心化應(yīng)用廣泛使用，包括全球最大的預(yù)測市場Polymarket。這種方法使Aeternum的C2基礎(chǔ)設(shè)施實際上變得永久存在且能抵御傳統(tǒng)打擊方法。"

這并非僵尸網(wǎng)絡(luò)首次被發(fā)現(xiàn)依賴區(qū)塊鏈進行C2操作。2021年，谷歌曾采取行動打擊名為Glupteba的僵尸網(wǎng)絡(luò)，該網(wǎng)絡(luò)使用比特幣區(qū)塊鏈作為備用C2機制來獲取實際C2服務(wù)器地址。

Aeternum C2的詳情最初在2025年12月浮出水面，當(dāng)時Outpost24的KrakenLabs透露，一個名為LenAI的威脅行為者在地下論壇上以200美元的價格宣傳這款惡意軟件，為客戶提供訪問面板和配置構(gòu)建的權(quán)限。據(jù)稱，客戶花費4000美元可獲得完整的C++代碼庫及更新。

作為一個支持x32和x64構(gòu)建的原生C++加載器，該惡意軟件通過將要發(fā)送給受感染主機的命令寫入Polygon區(qū)塊鏈上的智能合約來工作。機器人隨后通過查詢公共遠程過程調(diào)用端點來讀取這些命令。

所有這些都通過基于網(wǎng)絡(luò)的面板進行管理，客戶可以從中選擇智能合約、選擇命令類型、指定載荷URL并進行更新。命令可以針對所有端點或特定端點，作為交易寫入?yún)^(qū)塊鏈，之后所有輪詢網(wǎng)絡(luò)的受損設(shè)備都可以使用它。

"一旦命令得到確認，除了錢包持有者之外，任何人都無法更改或刪除它，"Qrator Labs表示。"操作者可以同時管理多個智能合約，每個合約可能服務(wù)于不同的載荷或功能，如剪貼板劫持器、竊取器、遠程訪問木馬或挖礦程序。"

根據(jù)Ctrl Alt Intel本月早些時候發(fā)布的兩部分研究，C2面板實現(xiàn)為Next.js網(wǎng)絡(luò)應(yīng)用程序，允許操作者將智能合約部署到Polygon區(qū)塊鏈。智能合約包含一個函數(shù)，當(dāng)惡意軟件通過Polygon RPC調(diào)用時，會返回加密命令，隨后在受害者機器上解碼并運行。

除了使用區(qū)塊鏈將其轉(zhuǎn)變?yōu)榭勾驌艚┦W(wǎng)絡(luò)外，該惡意軟件還具備各種反分析功能以延長感染的生存期。這包括檢測虛擬化環(huán)境的檢查，以及為客戶提供通過Kleenscan掃描其構(gòu)建的能力，確保不會被反病毒供應(yīng)商標(biāo)記。

"運營成本微乎其微：價值1美元的MATIC（Polygon網(wǎng)絡(luò)的原生代幣）足以進行100到150次命令交易，"這家捷克網(wǎng)絡(luò)安全供應(yīng)商表示。"操作者不需要租用服務(wù)器、注冊域名或維護除加密錢包和面板本地副本之外的任何基礎(chǔ)設(shè)施。"

威脅行為者此后試圖以10000美元的要價出售整個工具包，聲稱缺乏支持時間且參與了另一個項目。"我將把整個項目賣給一個人，允許轉(zhuǎn)售和商業(yè)使用，擁有所有'權(quán)利'，"LenAI說。"我還會提供有用的開發(fā)技巧/注釋，這些是我沒有時間實現(xiàn)的。"

值得注意的是，LenAI還開發(fā)了名為ErrTraffic的第二個犯罪軟件解決方案，使威脅行為者能夠通過在受損網(wǎng)站上生成虛假故障來自動化ClickFix攻擊，誘導(dǎo)虛假緊迫感并欺騙用戶遵循惡意指令。

與此同時，Infrawatch發(fā)布了一項地下服務(wù)的詳情，該服務(wù)將專用筆記本硬件部署到美國家庭中，將設(shè)備納入名為DSLRoot的住宅代理網(wǎng)絡(luò)，通過它們重定向惡意流量。

該硬件設(shè)計運行基于Delphi的程序DSLPylon，具備枚舉網(wǎng)絡(luò)上支持調(diào)制解調(diào)器的能力，以及通過Android調(diào)試橋集成遠程控制住宅網(wǎng)絡(luò)設(shè)備和Android設(shè)備。

"歸因分析確定操作者為白俄羅斯國民，居住在明斯克和莫斯科，"Infrawatch表示。"DSLRoot估計在美國20多個州運營約300臺活躍硬件設(shè)備。"

操作者被確定為Andrei Holas（也稱Andre Holas和Andrei Golas），該服務(wù)在BlackHatWorld上由用戶GlobalSolutions推廣，聲稱以每月190美元的價格出售物理住宅ADSL代理以獲得無限制訪問。還提供六個月990美元和年度訂閱1750美元的選項。

"DSLRoot的定制軟件提供消費級調(diào)制解調(diào)器（ARRIS/Motorola、Belkin、D-Link、ASUS）和Android設(shè)備的自動化遠程管理，通過ADB實現(xiàn)IP地址輪換和連接控制，"該公司指出。"該網(wǎng)絡(luò)無需身份驗證運營，允許客戶通過美國住宅IP匿名路由流量。"

Q&A

Q1：Aeternum C2僵尸網(wǎng)絡(luò)是什么？它有什么特點？

A：Aeternum C2是一個新型僵尸網(wǎng)絡(luò)加載器，其最大特點是采用基于區(qū)塊鏈的命令和控制基礎(chǔ)設(shè)施。它將指令存儲在公共Polygon區(qū)塊鏈上，而不依賴傳統(tǒng)服務(wù)器或域名，這使其能夠抵御傳統(tǒng)的打擊措施，基礎(chǔ)設(shè)施實際上變得永久存在。

Q2：Aeternum C2的運營成本高嗎？

A：運營成本非常低。價值1美元的MATIC（Polygon網(wǎng)絡(luò)的原生代幣）就足以進行100到150次命令交易。操作者不需要租用服務(wù)器、注冊域名或維護除加密錢包和面板本地副本之外的任何基礎(chǔ)設(shè)施。

Q3：DSLRoot住宅代理網(wǎng)絡(luò)是如何運作的？

A：DSLRoot通過將專用筆記本硬件部署到美國家庭中，將這些設(shè)備納入住宅代理網(wǎng)絡(luò)。該硬件運行名為DSLPylon的程序，能夠枚舉支持的調(diào)制解調(diào)器，并通過Android調(diào)試橋遠程控制住宅網(wǎng)絡(luò)設(shè)備，實現(xiàn)IP地址輪換和匿名流量路由。