Malware brasileiro esconde comando do vírus em contrato inteligente no Ethereum

Uma campanha de malware bancário brasileiro começou a usar um contrato inteligente na Ethereum para esconder informações sobre sua infraestrutura de comando e controle, conhecida pela sigla C2. A descoberta partiu da Swarmy, empresa brasileira especializada em segurança digital e combate a fraudes.

Segundo a investigação, divulgada pelo CISO Advisor, o código malicioso não armazena previamente o domínio ou o endereço IP do servidor controlado pelos criminosos. Antes de avançar com a infecção, o programa consulta um contrato inteligente implantado na Ethereum por meio de um gateway público.

O contrato devolve as informações necessárias para o malware localizar a próxima etapa da operação. A consulta apenas lê os dados disponíveis e não registra uma nova transação na blockchain, o que permite ao programa obter a configuração sem modificar o contrato durante cada infecção.

• B3 'vende' vaca tokenizada e já arrecada mais de R$ 100 mil

Esse modelo aumenta a capacidade de sobrevivência da campanha. Caso uma empresa de segurança identifique e derrube o servidor utilizado pelos criminosos, os operadores podem atualizar a configuração armazenada no contrato e apontar o malware para outro endereço, sem alterar o programa já instalado nas máquinas.

Criminosos podem trocar servidores sem atualizar o malware

Em campanhas tradicionais, pesquisadores procuram domínios e endereços IP gravados no código para bloquear a comunicação entre o computador infectado e os criminosos. No caso identificado pela Swarmy, o próprio malware consulta a Ethereum para descobrir onde está sua infraestrutura de comando.

Dessa forma, os operadores não precisam criar e distribuir uma nova versão do arquivo malicioso sempre que perdem um servidor. Eles mantêm o mesmo malware em circulação e alteram apenas a informação consultada no contrato inteligente, reduzindo o efeito das listas de bloqueio usadas por algumas ferramentas de segurança.

A investigação identificou o contrato no endereço 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. O programa acessa a rede por meio do RPC ethereum-rpc[.]publicnode[.]com, um gateway público que permite a aplicativos consultar informações registradas na Ethereum.

Os dados divulgados não apontam qualquer invasão ou vulnerabilidade no protocolo da Ethereum. Os criminosos aproveitam uma funcionalidade legítima da rede como parte da arquitetura do ataque, usando o contrato como uma referência dinâmica para encontrar a infraestrutura externa responsável pelas próximas etapas.

• Stablecoins fortalecem o dólar em meio à desdolarização, diz Janet Yellen em evento da XP

O servidor malicioso continua operando fora da blockchain e pode ser removido quando identificado. No entanto, o contrato fornece aos invasores uma maneira rápida de substituir esse endereço e restabelecer a comunicação com os dispositivos infectados.

Vírus injeta código em processo do Windows

Depois de recuperar a configuração, o malware executa um código em JavaScript que utiliza módulos nativos do Node.js para se comunicar pela internet e manipular o sistema operacional. Antes de baixar novos componentes, o programa analisa o ambiente para descobrir se pesquisadores executam o arquivo dentro de uma sandbox.

As sandboxes permitem que equipes de segurança abram arquivos suspeitos em ambientes isolados, sem comprometer computadores reais. Ao identificar sinais desse tipo de análise, o malware pode interromper ou modificar seu comportamento, dificultando a descoberta de todas as funções presentes na cadeia de ataque.

Quando decide continuar a execução, o programa baixa componentes adicionais e carrega assemblies .NET diretamente na memória. Também utiliza Reflection para executar partes do código sem depender da gravação convencional de arquivos no disco, reduzindo os rastros disponíveis para ferramentas de proteção.

A campanha ainda emprega técnicas de RunPE e injeta código no explorer.exe, processo legítimo do Windows responsável por elementos da interface do sistema. Ao esconder sua atividade dentro de um processo conhecido, o malware tenta evitar alertas e prolongar sua permanência no computador.

Para manter a execução após uma reinicialização, o vírus cria uma tarefa chamada MicrosoftNodeRuntimeUpdater. O nome procura imitar um componente legítimo relacionado à Microsoft e ao Node.js, o que pode dificultar a identificação da ameaça por usuários e administradores.

• Regras cripto no Brasil: Não dá para, de uma hora para outra, regular e achar que o passado todo estava errado

A Swarmy avalia que equipes de segurança precisam ampliar o monitoramento comportamental e acompanhar chamadas incomuns feitas a gateways públicos de blockchain. Os analistas também devem relacionar essas consultas com downloads, carregamentos de componentes na memória e injeções de código realizadas logo depois.

Além do RPC e do contrato, os indicadores de comprometimento incluem o Consumer ID 98d8049e-804f-11f1-b79f-ae3a8bb85d01 e o caminho remoto /5c92d3b8734b4f498752f735a1ca0987/98d8049e-804f-11f1-b79f-ae3a8bb85d01.