L'éternelle nouveauté des malwares blockchain

La crypto fait grand bruit autour d' EtherHiding, une nouvelle méthode d'attaque ingénieuse par laquelle des acteurs malveillants dissimulent du code malicieux dans des smart contracts pour propager des malwares via la blockchain. Taylor Monahan de MetaMask donne son point de vue sur les raisons pour lesquelles chaque nouvelle vague de soi-disant malwares blockchain fait les gros titres, et pourquoi les défenseurs devraient garder les yeux sur l'essentiel avant de s'emballer.

Une boucle infinie

Chaque fois qu'un nouveau rapport sur les malwares onchain paraît, les chercheurs en sécurité proclament à nouveau : « La première menace décentralisée, immuable et inarrêtable est arrivée ! » LinkedIn s'embrase. Les blogs se multiplient. Les titres anxiogènes sont optimisés. La détection et réponse aux incidents pilotée par l'IA est mise en avant.

Un chœur de réponses fait écho : « Je vous l'avais bien dit ! La blockchain est le vecteur de diffusion idéal pour les escrocs ! » Puis, comme toujours, la campagne s'essoufle. Les analystes passent au prochain exploit brillant — et, en préparation du rapport de l'année suivante, oublient que « la première menace décentralisée, immuable et inarrêtable » est jamais arrivée.

Les gros titres sur les malwares blockchain ne sont pas entièrement faux. C'est bien un malware. Il exploite la blockchain. Mais c'est à peu près tout. Ces campagnes sont banales à tous égards, sauf pour leur seule astuce ingénieuse, ce qui explique pourquoi elles sont si vite oubliées.

Les choses seraient peut-être différentes si elles étaient à la fois novatrices et conséquentes — quelque chose de révolutionnaire ou de dévastateur. Mais, en réalité, les chercheurs en sécurité adorent simplement la nouveauté. C'est leur catnip. N'importe quoi d'un tant soit peu inhabituel, comme des botnets récupérant moins de 80 octets depuis OP_RETURN ou des malwares mettant à jour leurs configs via un smart contract, suffit à les faire réagir. On ne peut s'empêcher de s'y plonger, en imaginant un monde rempli de malwares décentralisés et inarrêtables.

Pour être juste, une partie des acteurs malveillants partage cette même obsession. Les auteurs cybercriminels qui construisent un récit autour de leurs exploits rédigent des messages dramatiques pour attirer les médias et signent leurs malwares pour s'assurer que tout le monde sache que c'est eux. Leurs opérations sont tape-à-l'œil, divertissantes et prévisiblement éphémères. Ils sont souvent trop occupés à se disputer l'attention pour remarquer qu'ils ont gagné 13 $ aujourd'hui (ou que le FBI a pris le contrôle de leur chat de groupe hier).

Oui, il y a des leçons à tirer de ces opérations. « Comment devenir un acteur malveillant immuable et inarrêtable » n'en fait tout simplement pas partie.

Les acteurs malveillants qui causent de réels dommages sont pragmatiques. Le ROI est leur étoile polaire. La discrétion, l'échelle et la durabilité sont leurs moyens d'y parvenir. Et ils adaptent constamment leurs techniques en réponse aux obstacles.

• Plus personne ne lit les e-mails → migration vers Telegram

• GitHub supprime les dépôts → migration vers des dépôts privés

• Les dépôts privés sont anormaux, éveillent les soupçons → migration vers Bitbucket ou GitLab

• MetaMask signale les frontends malveillants dès leur apparition → utilisation de Google Docs ou de dépôts Github plutôt que de landing pages

Ainsi, chaque fois que je vois un acteur malveillant utiliser la blockchain, je me demande toujours quel problème la blockchain résout pour lui. Comment cela fait-il évoluer les choses en termes de transformation de campagnes infructueuses en campagnes réussies ?

Malware, rencontre la blockchain

Un malware est un logiciel malveillant. C'est du code. Il ne tombe pas du ciel et n'apparaît pas par magie. Le code lui-même doit parvenir sur l'appareil de la victime, puis s'exécuter pour mener à bien ses opérations.

Avec un logiciel ordinaire, vous visitez un site web ou une boutique d'applications et téléchargez l'application, qui est ensuite installée et s'exécute sur votre appareil. Ce processus d'installation décompresse le logiciel proprement dit, puis exécute le code qu'il contient. Il peut notamment déplacer des fichiers au bon endroit, configurer vos paramètres personnels, contacter un serveur pour vérifier les mises à jour disponibles, ou se configurer pour démarrer automatiquement à chaque lancement de votre ordinateur.

Les malwares font tout cela aussi. Ils doivent simplement être discrets. Un logiciel malveillant ne peut pas accomplir des actions malveillantes si l'utilisateur final, ou quiconque, détecte qu'il est malveillant.

Et les gens cherchent toujours à protéger les utilisateurs finaux contre les malwares. Google Chrome affiche un écran rouge pour les URL et téléchargements malveillants. Votre système d'exploitation empêche l'installation de code malveillant, surtout à votre insu. Les réseaux sociaux, les hébergeurs web, les registraires de domaines et les dépôts de code prennent tous des mesures pour détecter et empêcher les opérateurs de malwares de les utiliser à des fins malveillantes.

En conséquence, la manière dont les malwares sont délivrés aux utilisateurs finaux a considérablement évolué au fil du temps. Les créateurs et opérateurs de malwares font tout leur possible pour fractionner les charges malveillantes en plusieurs étapes, obscurcir les URL et prévoir des solutions de repli en cas de suppression.

Mais où est la blockchain ?

Différents acteurs malveillants ont utilisé la blockchain de différentes manières au fil des années.

Le rôle que joue la blockchain est généralement le même, même si le mécanisme exact et les détails techniques diffèrent :

• Le code malveillant doit communiquer avec diverses ressources pour obtenir ou maintenir le contrôle de l'appareil d'une victime.

• Ces ressources changent souvent (par exemple, lorsqu'un serveur est mis hors ligne).

• Si un morceau de code malveillant ne peut pas changer (par exemple, un malware déjà présent sur l'appareil d'une victime ou du code déployé sur des milliers de sites WordPress compromis), il cesse de fonctionner lorsqu'une ressource dont il dépend est mise hors ligne.

Ils intègrent donc une blockchain et soudain rien ne peut être supprimé, tout est magique, invisible et anonyme, et la menace décentralisée, immuable et inarrêtable est arrivée !

Pic en 2019-2021

| Glupteba BotnetMalware qui obtenait un contrôle total par backdoor des machines infectées, exfiltrait des identifiants et des cookies, déployait des proxies pour l'anonymisation du trafic, facilitait la fraude par carte de crédit et les abus publicitaires, et (depuis 2019) intégrait même un cryptomineur. | L'opcode OP_RETURN de Bitcoin était utilisé pour intégrer un domaine C2 de sauvegarde chiffré dans les transactions.Chaque fois que les serveurs C2 principaux se déconnectaient, les machines infectées pouvaient parcourir une liste de serveurs Bitcoin Electrum jusqu'à ce qu'elles récupèrent avec succès les données de la blockchain.Cette chaîne était ensuite déchiffrée pour obtenir l'URL du serveur C2 à jour. | Résilience : Ajoute une couche de résilience qui garantissait que les machines infectées restaient infectées, même si les C2 d'origine étaient mis hors ligne. | | Sep 2023– Juil 2025 | Etherhiding - CLEARSHORT UNC5142

Téléchargeur JavaScript multi-étapes utilisé pour faciliter la distribution de malwares.D'abord, un payload JavaScript est injecté dans des sites web vulnérables qui récupère le payload de deuxième étape depuis un smart contract malveillant. Le smart contract récupère une landing page CLEARSHORT depuis un serveur contrôlé par l'attaquant. Cette landing page exploite ClickFix, une technique d'ingénierie sociale populaire qui incite les victimes à exécuter localement une commande malveillante via Windows Run. | Au lieu d'intégrer toute leur chaîne d'attaque dans le site web compromis, les acteurs malveillants stockaient des composants sur la BNB Smart Chain en utilisant des smart contracts pour stocker de courts payloads.

Initialement, les données mises sur la blockchain étaient un payload chiffré (plutôt qu'une chaîne URL littérale), mais ce payload était un très court extrait qui effectuait une requête vers une URL spécifiée, puis eval() tout ce que cette URL retournait.Au fil du temps, le mécanisme a évolué pour impliquer plusieurs couches de contrats qui effectuent chacun des vérifications, puis pointent vers le contrat suivant. Le contrat final hébergeait alors l'URL hébergeant le payload chiffré + la clé de déchiffrement et l'URL hébergeant le payload de deuxième étape. | Résilience : Augmente la résilience face aux efforts de détection et de suppression. Les mécanismes de protection basés sur le réseau sont plus difficiles à mettre en œuvre pour le trafic Web3. Les opérations de saisie et de suppression sont également entravées, compte tenu de l'immuabilité de la blockchain.Discrétion : Stocker du code malveillant dans un smart contract le rend plus difficile à détecter avec les outils de sécurité web traditionnels. Les appels vers des endpoints légitimes aident le trafic malveillant à se fondre dans l'activité normale.Agilité : En utilisant plusieurs contrats, les attaquants disposaient d'un point d'entrée stable pouvant pointer vers différents endroits (et payloads) selon les besoins.

| | Fév 2025– Présent | Etherhiding UNC5342 / DPRK / Contagious InterviewCette campagne cible les développeurs, en particulier dans les secteurs des cryptomonnaies et de la technologie, pour voler des données sensibles/cryptomonnaies et obtenir un accès persistant aux réseaux d'entreprise.La campagne emploie un processus d'infection par malware multi-étapes pour compromettre le système de la victime sur Windows, macOS et Linux. | Utilise EtherHiding pour récupérer, déchiffrer et exécuter des payloads malveillants depuis des smart contracts sur la BNB Smart Chain et Ethereum.La victime exécute du code qui lance un téléchargeur JavaScript initial qui interagit ensuite avec un smart contract malveillant et télécharge le payload de deuxième étape.Utilise généralement eth_call ou eth_getStorageAt (opérations de lecture pour récupérer les données de la chaîne). | Résilience : Aucun serveur central à supprimer. Une fois qu'un smart contract est déployé, il ne peut pas être facilement supprimé ou modifié par quiconque autre que le propriétaire du contrat.Discrétion : Les attaquants peuvent récupérer le payload malveillant en utilisant des appels en lecture seule qui ne laissent pas d'historique de transactions visible.Agilité : L'attaquant peut mettre à jour le payload malveillant à tout moment pour modifier ses méthodes d'attaque, mettre à jour des domaines ou déployer différents types de malwares. | | 2025 | Cross-Chain TxDataHidingRebondit entre les blockchains TRON, Aptos et BSC pour obscurcir davantage la piste. Une blockchain agit comme un système d'index ou de pointeur qui stocke une référence à un hash de transaction sur une deuxième blockchain (généralement BSC), qui contient finalement le payload malveillant. | Emploie une blockchain arbitraire qui agit comme un pointeur vers un hash de transaction BSC.Elle utilise ensuite eth_getTransactionByHash pour obtenir les données de cette transaction BSC, qui contient finalement un payload obscurci utilisé pour délivrer la prochaine étape du malware.Les appels TRON sont raw_data.data et les appels Aptos sont payload.arguments[0] — les deux sont des appels en lecture pour récupérer des informations de la chaîne. Toute chaîne supportant des champs de données personnalisés dans les transactions pourrait servir de couche de pointeur. | Résilience : Les serveurs C2 traditionnels peuvent être saisis par les forces de l'ordre ou fermés par les hébergeurs, mais les données stockées sur la blockchain sont répliquées sur des milliers de nœuds.Discrétion : Les connexions à api.trongrid.io aptoslabs.com binance.org apparaissent comme du HTTPS générique vers des services légitimes sans indicateurs malveillants évidents. Les C2 traditionnels laissent des journaux de serveur, des certificats TLS, des enregistrements d'hébergement, une géolocalisation IP, mais un « C2 blockchain » ne crée que des adresses pseudonymes et des hashes de transactions sans serveurs ni journaux.Agilité : Peut modifier les payloads à tout moment en publiant de nouvelles transactions blockchain tandis que les adresses codées en dur du malware ne changent jamais. Les machines peuvent automatiquement récupérer les payloads mis à jour sans modifications de code. |

Pas si vite

Faire atterrir un malware sur l'appareil d'une victime nécessite plusieurs étapes, plusieurs ressources et une certaine communication entre ces ressources. Certaines de ces étapes existent uniquement pour échapper à la détection, d'autres pour maintenir le contrôle dans le temps.

Il est important de comprendre que le malware ne « s'exécute jamais sur la blockchain ». La blockchain ne remplace même pas l'intégralité de la chaîne d'infection.

Par exemple, voici un avant-après (simplifié) de la chaîne d'infection de Glupteba, vers 2019 :

Et voici l'avant-après de l'évolution initiale de l'Etherhiding d'UNC5142 :

Vu sous cet angle, il devient plus clair que les éléments blockchain sont greffés sur une chaîne d'infection par ailleurs conventionnelle. C'est l'évolution d'une opération existante. Parfois, c'est même une réponse directe à une perturbation.

Cette différence est importante pour les défenseurs qui doivent séparer la nouveauté du risque. Les contrôles primaires qui stoppent ces campagnes restent finalement les mêmes. Les acteurs malveillants contourneront toujours les perturbations comme la mise hors ligne des C2 lorsqu'ils savent que la campagne continue par ailleurs à réussir. Les individus et les organisations doivent s'efforcer de réduire les compromissions initiales, détecter les menaces sur la base du comportement et non d'indicateurs statiques, et s'assurer qu'il existe des contrôles pour contenir les endpoints après compromission. L'existence de la blockchain ne change rien à tout cela.

Les avantages de la blockchain

Dans cet esprit, revenons sur les avantages de la blockchain mis en évidence dans notre tableau par les chercheurs au fil des années.

Résilience

• « Les URL codées en dur sont faciles à bloquer et rendent ainsi l'installation du malware inopérante. » Source : Cerber Ransomware

• « Garantit que les machines infectées restent infectées, même si les C2 d'origine sont mis hors ligne. » Source : Glupteba

• « Augmente la résilience face aux efforts de détection et de suppression. Les opérations de saisie et de suppression sont également entravées compte tenu de l'immuabilité de la blockchain. » Source : EtherHiding d'UNC5142

• « Il n'y a pas de serveur central à supprimer. » Source : EtherHiding d'UNC5342

• « Les serveurs C2 traditionnels peuvent être saisis par les forces de l'ordre ou fermés par les hébergeurs, mais les données stockées sur la blockchain sont répliquées sur des milliers de nœuds décentralisés. » Source : Cross-Chain TxDataHiding

• « Une fois qu'un smart contract est déployé, il ne peut pas être facilement supprimé ou modifié par quiconque autre que le propriétaire du contrat. » Source : EtherHiding d'UNC5342

Vérification de la réalité : La blockchain est le plus souvent utilisée comme pointeur et existe entre deux éléments d'infrastructure traditionnelle.

Les auteurs de malwares ont employé une grande variété de mécanismes de « pointeur » qui se cachent à la vue de tous, sur des hôtes à l'épreuve des balles, ou sur des plateformes de contenu légitimes depuis des années. Ceux-ci peuvent également être très difficiles, voire impossibles, à détecter et/ou à supprimer.

Les appels pour récupérer les données de la blockchain se font toujours via des endpoints d'API traditionnels hébergés par des fournisseurs de services d'infrastructure traditionnels, et utilisent parfois même des clés d'API traditionnelles. Bien que vous ne puissiez pas mettre hors ligne l'ensemble du système (car il s'agit en fin de compte d'une entreprise opérant de bonne foi et servant principalement des utilisateurs légitimes), les chercheurs en sécurité peuvent informer les entreprises sur ce type d'activité et travailler avec elles pour prendre des mesures.

Ce n'est pas différent de toute autre situation où un acteur malveillant utilise une infrastructure légitime pour délivrer ses payloads. C'est toujours frustrant de savoir qu'une certaine entité pourrait agir, mais ne le fait pas. L'industrie blockchain en particulier dispose de son propre réseau de chercheurs en sécurité qui n'est pas entièrement intégré aux réseaux de recherche en sécurité traditionnels. Cependant, cela ne signifie pas qu'il n'existe pas. Si vous avez besoin de mises en relation ou de partager des renseignements de cette nature, il y a des personnes dans la blockchain qui s'en soucient profondément, connaissent tout le monde et sont toujours prêtes à aider. Cela inclut nous tous chez MetaMask Security, ainsi que des organisations comme SEAL. Prenez contact.

Discrétion

• « Stocker du code malveillant dans un smart contract le rend plus difficile à détecter qu'avec les outils de sécurité web traditionnels qui pourraient analyser directement le contenu des sites web. » Source : EtherHiding d'UNC5142

• « La BNB Smart Chain est une plateforme légitime. L'utiliser peut aider le trafic malveillant à se fondre dans l'activité normale comme moyen d'échapper à la détection. » Source : EtherHiding d'UNC5142)

• « Les attaquants peuvent récupérer le payload malveillant en utilisant des appels en lecture seule qui ne laissent pas d'historique de transactions visible. » Source : EtherHiding d'UNC5342

• « Les connexions aux API blockchain — api.trongrid.io, aptoslabs.com, binance.org, etc. — apparaissent comme du HTTPS générique vers des services légitimes sans indicateurs malveillants évidents. » Source : Cross-Chain TxDataHiding

• « Les C2 traditionnels laissent de nombreuses preuves (journaux de serveur, certificats TLS, enregistrements d'hébergement et géolocalisation IP), mais les C2 blockchain ne créent que des adresses pseudonymes et des hashes de transactions sans serveurs ni journaux. » Source : Cross-Chain TxDataHiding

• « Les mécanismes de protection basés sur le réseau sont plus difficiles à mettre en œuvre pour le trafic web3 par rapport au trafic web traditionnel, compte tenu de l'absence d'utilisation d'URL traditionnelles. » Source : EtherHiding d'UNC5142

Vérification de la réalité : Interagir avec « la blockchain », c'est comme interagir avec n'importe quel autre fournisseur de services cloud

La blockchain n'est qu'une immense base de données publique de toutes les transactions historiques, accompagnée d'une vérification cryptographique complexe qui doit se produire toutes les ~10 secondes. Elle fonctionne presque toujours sur une infrastructure traditionnelle dédiée avec toutes sortes d'équilibrage de charge, d'API et d'autres orchestrations. Ce que chaque fournisseur de services enregistre et conserve dépend entièrement de son utilisation, de ses utilisateurs, de son historique, de sa politique de confidentialité, de sa localisation, de sa relation avec les utilisateurs et des services proposés.

Par exemple, si un service blockchain nécessite un paiement mensuel, il facture généralement par carte de crédit, comme une entreprise web2. S'il accepte les paiements en crypto, ses adresses onchain sont largement connues, et vous pouvez voir l'acteur malveillant payer. Contrairement aux paiements traditionnels, n'importe qui peut observer la DPRK payer Namecheap pour des domaines et Debank pour des crédits API. Il s'agit d'un renseignement exploitable à haute confiance qui n'était pas disponible auparavant.

L'ordinateur d'un utilisateur moyen ne contacte pas aléatoirement quoi que ce soit lié à la crypto. Si votre sandbox exécutant un payload mystérieux le fait soudainement, vous devriez absolument l'examiner directement. Même dans des conditions normales, les appels blockchain ne sont pas aussi légitimes que, disons, les appels vers Microsoft, GitHub, AWS, Google ou Cloudflare. Et tous ceux-là délivrent régulièrement des payloads malveillants.

Bien sûr, les entreprises crypto ne peuvent pas bloquer tout le trafic crypto comme moyen de prévention. « Heureusement, les entreprises crypto n'ont aucune surveillance, donc c'est bon ! » Je plaisante, bien sûr. Toute entreprise crypto sérieuse dispose d'un SIEM (Security Information & Event Management) et d'un EDR (Endpoint Detection & Response) sérieux, conçus pour détecter et contenir avec succès les vrais payloads Lazarus. Les payloads Contagious Interview ou MaaS — même ceux utilisant la blockchain — sont détectés exactement de la même manière qu'ils l'étaient avant leur utilisation de la blockchain.

Agilité

• « Bien que les smart contracts eux-mêmes soient immuables, ils déploient un smart contract de premier niveau qui contient un pointeur vers un smart contract de deuxième niveau. Le contrat de premier niveau agit comme un point d'entrée stable dont l'adresse ne change jamais sur le site web compromis, dirigeant le JavaScript injecté pour récupérer du code depuis un contrat de deuxième niveau, donnant aux attaquants la possibilité de changer cette cible sans modifier le site web compromis. » (EtherHiding d'UNC5142)

• « L'attaquant peut mettre à jour le payload malveillant à tout moment pour modifier ses méthodes d'attaque, mettre à jour des domaines ou déployer différents types de malwares. » (EtherHiding d'UNC5342)

• « L'attaquant peut modifier les payloads à tout moment en publiant de nouvelles transactions blockchain tandis que les adresses codées en dur du malware ne changent jamais, ce qui signifie que les machines infectées récupèrent automatiquement les payloads mis à jour sans modifications de code. » (Cross-Chain TxDataHiding)

Vérification de la réalité : C'est aussi ainsi que fonctionne Internet

Les acteurs malveillants cachent un payload dans une image, mettent à jour l'image, et le malware est comme par magie différent. Les URL sont des pointeurs vers des adresses IP, qui sont des pointeurs vers du contenu hébergé sur des serveurs. Si vous ne pouvez pas supprimer le contenu littéral, vous supprimez les routes utilisées pour accéder au contenu. Si vous ne pouvez pas supprimer les routes, vous demandez à ceux qui assurent le routage de les bloquer.

La différence clé entre des données arbitraires stockées sur un site web et une blockchain est que cela coûte de l'argent d'écrire des données arbitraires sur la blockchain et qu'il se produit un événement public chaque fois que cela se produit. Les frais de transaction peuvent aller de 1 à 100 $ ou plus selon les conditions du réseau. Certaines chaînes sont moins chères que d'autres, ce qui rend cela moins problématique. Mais cela a toujours un coût et ces paiements laissent une trace.

La blockchain est publique après tout. Les fournisseurs de services et les exchanges disposent de bases de données d'activités corrélées des utilisateurs finaux, d'adresses IP, d'empreintes d'appareils, et parfois de dossiers KYC complets. Même les transactions basiques nécessitent une certaine interaction avec des éléments internet traditionnels qui ont évidemment une certaine quantité de données internet traditionnelles. La quantité de données dépend entièrement de la façon dont l'acteur malveillant interagit avec la blockchain. Mais la blockchain n'est pas anonyme.

L'objectif final

En théorie, un système de stockage décentralisé, irréversible et résistant à la censure est le rêve de tout acteur malveillant. En réalité, ces souches de malwares « propulsées par la blockchain » ne semblent jamais s'imposer comme d'autres techniques le font.

CLICKFIX, par exemple, a été rapidement adopté par un grand nombre de groupes malveillants différents. L'idée de pouvoir convaincre les utilisateurs finaux de copier-coller directement dans leur ligne de commande pour contourner les protections de première ligne était véritablement un changement de paradigme. Pendant ce temps, sept ans plus tard, les malwares sur la blockchain sont encore suffisamment nouveaux pour enflammer le monde de la sécurité à chaque fois que quelqu'un trouve une nouvelle implémentation.

En partie, c'est parce que les blockchains ne remplacent pas (et ne peuvent pas remplacer) l'intégralité de la chaîne d'infection, ni même la majeure partie. Il y a des comptes de réseaux sociaux, des hébergeurs web, des registraires de domaines et un ou plusieurs serveurs C2 qui sont utilisés pour délivrer diverses étapes du malware, pointer vers la suivante, ou servir de repli en cas de défaillance. La blockchain ajoute un autre flux de travail et une autre étape en plus de tous les flux existants.

C'est aussi parce que la blockchain vient avec ses propres coûts et risques.

Pourquoi risquer de laisser définitivement votre OpSec sur un registre public que n'importe qui peut découvrir, quand il existe des hôtes à l'épreuve des balles, des sites WordPress compromis et des plateformes de contenu gratuites qui ne demandent qu'à servir d'infrastructure jetable ? Pourquoi risquer que votre chose autrement indétectée soit instantanément détectée par tous les WiFis publics, hôtels, bateaux de croisière, écoles et/ou lieux de travail qui bloquent encore par défaut tout ce qui ressemble de près ou de loin à de la « blockchain » ?

Une partie de la réponse est simplement parce qu'ils le peuvent. C'est amusant, ingénieux, novateur et unique. Peut-être que cela les rendra plus efficaces — ou du moins leur donnera l'impression d'être des escrocs futuristes. Les acteurs malveillants sont des personnes aussi. Ils ont des objectifs et des motivations. Ils n'agissent pas toujours rationnellement.

Cependant, je pense que la vraie réponse se révèle dans les rapports publics sur ces mécanismes. Il semble que cela échappe effectivement à la détection. D'une façon ou d'une autre, le simple fait d'utiliser une blockchain leur permet de garder leurs C2 cachés plus longtemps. D'une façon ou d'une autre, les sandboxes sont perturbés quand ils ne trouvent pas le malware parce qu'il se trouve dans un appel d'API blockchain.

Ironiquement, cet avantage ne vient pas du fait que cela ne peut pas être détecté. (Ça peut l'être). Ce n'est pas parce que c'est réellement plus anonyme, discret ou privé que tout ce qu'ils font par ailleurs. (C'est vraiment, vraiment pas le cas). L'avantage découle presque entièrement du fait que les chercheurs en sécurité perçoivent les choses ainsi.

Ainsi, nous devrions nous attendre à ce que les acteurs malveillants continuent d'expérimenter de cette façon. Les chercheurs en sécurité devraient également continuer à suivre et publier sur ces campagnes. Mais, pour l'instant du moins, les « malwares blockchain » restent une note de bas de page relativement anecdotique dans une histoire bien plus vaste et bien plus sombre.

L'essentiel de notre temps et de notre énergie doit être consacré à agir sur les choses qui ont un réel impact sur les individus et les institutions — les choses qui préviennent les pertes et protègent les gens, même lorsqu'ils insistent pour coller des commandes aléatoires dans une boîte noire simplement parce qu'un inconnu sur internet leur a dit de le faire.

Si pour une raison quelconque les aspects blockchain de ces campagnes constituent véritablement un obstacle pour des entreprises de sécurité cherchant à mieux détecter, désanonymiser et perturber ces campagnes, le monde de la sécurité web3 est plus que disposé à aider. Veuillez nous contacter à MetaMask Security.