A novidade interminável do malware em blockchain

O mundo cripto está agitado com o EtherHiding, um novo e engenhoso método de ataque em que agentes maliciosos escondem código malicioso dentro de smart contracts para distribuir malware pela blockchain. Taylor Monahan, da MetaMask, compartilha sua visão sobre por que cada nova onda do chamado "malware em blockchain" vira manchete — e por que os defensores devem manter o foco no básico antes de se deixar levar.

Um loop infinito

Toda vez que um novo relatório sobre malware onchain surge, pesquisadores de segurança proclamam novamente: "A primeira ameaça descentralizada, imutável e imparável chegou!" O LinkedIn ferve. Blogs são publicados em série. Manchetes carregadas de medo são otimizadas. Soluções de detecção e resposta de endpoints com IA são vendidas a peso de ouro.

Um coro de respostas ecoa: "Eu avisei! A blockchain é o mecanismo de entrega perfeito para golpistas!" Então, como sempre, a campanha perde força. Os analistas partem para o próximo exploit brilhante — e, na preparação para o relatório do ano seguinte, esquecem que "a primeira ameaça descentralizada, imutável e imparável" algum dia chegou.

As manchetes sobre malware em blockchain não estão totalmente erradas. É malware. Ele usa a blockchain. Mas é basicamente isso. As campanhas são sem destaque em todos os aspectos, exceto por um truque inteligente — e é por isso que são esquecidas tão rapidamente.

As coisas poderiam ser diferentes se fossem ao mesmo tempo inovadoras e consequentes — algo revolucionário ou devastador. Mas, na prática, pesquisadores de segurança simplesmente adoram novidade. É o nosso ponto fraco. Qualquer coisa minimamente fora do comum, como botnets buscando menos de 80 bytes de OP_RETURN ou malware atualizando configurações via smart contract, nos deixa animados. Não conseguimos resistir a imaginar um mundo repleto de malware descentralizado e imparável.

Para ser justo, um subconjunto de agentes de ameaça compartilha essa mesma obsessão. Os auteurs do cibercrime que constroem uma narrativa junto com seus exploits criam mensagens dramáticas para atrair a mídia e assinam seus malwares para garantir que todos saibam que são eles. Suas operações são chamativas, divertidas e previsivelmente efêmeras. Muitas vezes estão ocupados demais competindo por atenção para perceber que lucraram R$ 70 hoje (ou que o FBI assumiu o controle do grupo deles ontem).

Sim, há lições a aprender com essas operações. "Como ser um agente de ameaça imutável e imparável" simplesmente não é uma delas.

Os agentes de ameaça que causam danos reais são pragmáticos. O ROI é sua estrela-guia. Furtividade, escala e sustentabilidade são o caminho para chegar lá. E eles estão constantemente ajustando suas técnicas em resposta aos bloqueios.

• Ninguém lê e-mails → migrar para o Telegram

• O GitHub derruba repositórios → migrar para repositórios privados

• Repositórios privados são incomuns e levantam suspeitas → migrar para Bitbucket ou GitLab

• A MetaMask sinaliza os frontends maliciosos assim que aparecem → usar Google Docs ou repositórios do GitHub em vez de landing pages

Portanto, sempre que vejo um agente de ameaça usando a blockchain, pergunto que problema ela resolve para eles. Como isso muda o jogo em termos de transformar campanhas malsucedidas em bem-sucedidas?

Malware, conheça a blockchain

Malware é software malicioso. É código. Não cai do céu nem surge magicamente. O próprio código precisa chegar ao dispositivo da vítima e ser executado para realizar suas operações.

Com um software comum, você visita um site ou uma loja de aplicativos e baixa o programa, que é instalado e executado no seu dispositivo. Esse processo de instalação descompacta o software em si e executa o código contido nele. Ele pode fazer coisas como mover arquivos para o lugar certo, configurar preferências pessoais, verificar atualizações disponíveis em algum servidor ou se configurar para iniciar automaticamente toda vez que você liga o computador.

O malware faz tudo isso também. Só precisa ser sorrateiro. Um software malicioso não pode agir maliciosamente se o usuário final — ou qualquer outra pessoa — detectar que ele é malicioso.

E as pessoas estão sempre tentando proteger os usuários finais contra malware. O Google Chrome exibe telas de aviso para URLs e downloads maliciosos. Seu sistema operacional impede a instalação de código malicioso, especialmente sem o seu conhecimento. Redes sociais, provedores de hospedagem, registradores de domínios e repositórios de código tomam medidas para detectar e impedir que operadores de malware os utilizem para fins maliciosos.

Como resultado, a forma como o malware é entregue aos usuários finais evoluiu significativamente ao longo do tempo. Criadores e operadores de malware se esforçam muito para dividir os payloads maliciosos em múltiplos estágios, ofuscar URLs e criar alternativas de fallback caso algo seja derrubado.

Mas onde entra a blockchain?

Diferentes agentes de ameaça usaram a blockchain de formas distintas ao longo dos anos.

O papel que a blockchain desempenha é geralmente o mesmo, mesmo que o mecanismo exato e os detalhes técnicos variem:

• Código malicioso precisa se comunicar com vários recursos para obter ou manter o controle do dispositivo da vítima.

• Esses recursos mudam com frequência (por exemplo, quando um servidor é derrubado).

• Se um trecho de código malicioso não pode ser alterado (por exemplo, malware já instalado no dispositivo da vítima ou código implantado em milhares de sites WordPress comprometidos), ele morre quando um recurso do qual depende é desativado.

Então eles jogam uma blockchain no meio e, de repente, nada pode ser derrubado, tudo é mágico, invisível e anônimo — e a ameaça descentralizada, imutável e imparável chegou!

Calma lá

Instalar malware no dispositivo de uma vítima requer múltiplos estágios, múltiplos recursos e alguma comunicação entre esses recursos. Alguns desses estágios existem apenas para evadir a detecção, enquanto outros existem para manter o controle ao longo do tempo.

Isso é importante de entender porque o malware nunca está "rodando na blockchain". A blockchain nem sequer substitui toda a cadeia de infecção.

Por exemplo, aqui está um antes e depois (simplificado) da cadeia de infecção do Glupteba, por volta de 2019:

E aqui está o antes e depois da evolução inicial do Etherhiding do UNC5142:

Visto dessa forma, fica mais claro que os elementos de blockchain são enxertados em uma cadeia de infecção que, de outra forma, é convencional. É uma evolução de uma operação já existente. Às vezes, é até uma resposta direta a uma interrupção sofrida.

Essa diferença importa para os defensores, que precisam separar a novidade do risco. Os controles primários que interrompem essas campanhas continuam sendo os mesmos. Agentes de ameaça sempre vão contornar interrupções como a derrubada de C2s quando sabem que a campanha ainda está funcionando. Pessoas e organizações precisam trabalhar para reduzir comprometimentos iniciais, detectar ameaças com base em comportamento e não em indicadores estáticos, e garantir que existam controles para conter endpoints após o comprometimento. A existência da blockchain não muda nada disso.

Os benefícios da blockchain

Com isso em mente, vamos revisitar os benefícios da blockchain destacados em nossa tabela por pesquisadores ao longo dos anos.

Resiliência

• "URLs hardcoded são fáceis de bloquear e, portanto, tornam a instalação do malware inoperante." Fonte: Cerber Ransomware

• "Garante que as máquinas infectadas permaneçam infectadas, mesmo que os C2s originais sejam desativados." Fonte: Glupteba

• "Aumenta a resiliência diante de esforços de detecção e derrubada. Operações de apreensão e derrubada também são dificultadas pela imutabilidade da blockchain." Fonte: EtherHiding do UNC5142

• "Não há servidor central para derrubar." Fonte: EtherHiding do UNC5342

• "Servidores C2 tradicionais podem ser apreendidos por autoridades ou desativados por provedores de hospedagem, mas dados armazenados na blockchain são replicados em milhares de nós descentralizados." Fonte: Cross-Chain TxDataHiding

• "Uma vez que um smart contract é implantado, ele não pode ser facilmente removido ou alterado por ninguém além do proprietário do contrato." Fonte: EtherHiding do UNC5342

Verificação da realidade: A blockchain é usada mais comumente como um ponteiro e existe entre dois elementos de infraestrutura tradicional.

Autores de malware têm empregado uma variedade de mecanismos de "ponteiro" que se escondem à vista de todos, em hosts à prova de balas ou em plataformas de conteúdo legítimas há anos. Esses também podem ser muito difíceis, ou até impossíveis, de detectar e/ou derrubar.

As chamadas para recuperar dados da blockchain ainda são feitas via endpoints de API tradicionais hospedados por provedores de infraestrutura tradicionais e, às vezes, até usam chaves de API tradicionais. Embora não seja possível derrubar o sistema inteiro (já que, em última análise, é um negócio operado de boa-fé e que atende principalmente usuários legítimos), pesquisadores de segurança podem informar as empresas sobre esse tipo de atividade e trabalhar com elas para tomar providências.

Isso não é diferente de qualquer outra situação em que um agente malicioso está usando infraestrutura legítima para entregar seus payloads. É sempre frustrante quando você sabe que uma determinada entidade poderia agir, mas não age. O setor de blockchain em particular tem sua própria rede de pesquisadores de segurança que não está totalmente integrada às redes de pesquisa de segurança tradicionais. No entanto, isso não significa que ela não existe. Se você precisar de apresentações ou quiser compartilhar inteligência desse tipo, há pessoas no ecossistema blockchain que se importam profundamente, conhecem todo mundo e estão sempre dispostas a ajudar. Isso inclui todos nós da MetaMask Security, bem como organizações como a SEAL. Entre em contato.

Furtividade

• "Armazenar código malicioso dentro de um smart contract é mais difícil de detectar do que com ferramentas tradicionais de segurança web que podem escanear o conteúdo do site diretamente." Fonte: EtherHiding do UNC5142

• "A BNB Smart Chain é uma plataforma legítima. Usá-la pode ajudar o tráfego malicioso a se misturar com a atividade normal como forma de evadir a detecção." Fonte: EtherHiding do UNC5142

• "Os atacantes podem recuperar o payload malicioso usando chamadas somente leitura que não deixam um histórico de transações visível." Fonte: EtherHiding do UNC5342

• "Conexões com APIs de blockchain — api.trongrid.io, aptoslabs.com, binance.org, etc. — aparecem como HTTPS genérico para serviços legítimos, sem indicadores maliciosos óbvios." Fonte: Cross-Chain TxDataHiding

• "Um C2 tradicional deixa evidências extensas (registros de servidor, certificados TLS, registros de hospedagem e geolocalização de IP), mas um C2 em blockchain cria apenas endereços pseudônimos e hashes de transação sem servidores ou logs." Fonte: Cross-Chain TxDataHiding

• "Mecanismos de proteção baseados em rede são mais difíceis de implementar para tráfego web3 em comparação com o tráfego web tradicional, dada a falta de uso de URLs tradicionais." Fonte: EtherHiding do UNC5142

Verificação da realidade: Interagir com "a blockchain" é como interagir com qualquer outro provedor de serviços em nuvem

A blockchain é apenas um enorme banco de dados público de todas as transações históricas, junto com uma verificação criptográfica complexa que precisa acontecer a cada ~10 segundos. Ela quase sempre roda em infraestrutura dedicada e tradicional, com todo tipo de balanceamento de carga, APIs e outras orquestrações. O que cada provedor de serviços registra e retém depende inteiramente de seu uso, usuários, histórico, política de privacidade, localização, relacionamento com os usuários e os serviços oferecidos.

Como exemplo, se um serviço de blockchain exige pagamento mensal, ele normalmente cobra via cartão de crédito, como uma empresa web2. Se aceita pagamentos em cripto, seus endereços onchain são amplamente conhecidos e você pode ver o agente de ameaça pagando. Ao contrário dos pagamentos tradicionais, qualquer pessoa pode ver a DPRK pagando a Namecheap por domínios e a Debank por créditos de API. Essa é uma inteligência de alta confiança e acionável que antes não estava disponível.

O computador comum de um usuário final não faz ping aleatório em nada relacionado a cripto. Se o seu sandbox executando um payload misterioso de repente fizer isso, você definitivamente deve investigar diretamente. Mesmo em condições normais, chamadas de blockchain não são nem de longe tão legítimas quanto, digamos, chamadas para Microsoft, GitHub, AWS, Google ou Cloudflare. E todas essas regularmente entregam payloads maliciosos.

Claro, empresas de cripto não podem bloquear todo o tráfego cripto como medida de prevenção. "Ainda bem que empresas de cripto não têm nenhum monitoramento, então tudo bem!" Estou brincando, claro. Toda empresa séria de cripto tem SIEM (Security Information & Event Management) e EDR (Endpoint Detection & Response) robustos, projetados para detectar e conter com sucesso payloads reais do Lazarus. Payloads do Contagious Interview ou MaaS — mesmo os que usam a blockchain — são detectados exatamente da mesma forma que eram detectados antes de seu uso da blockchain.

Agilidade

• "Embora os próprios smart contracts sejam imutáveis, eles implantam um smart contract de primeiro nível que contém um ponteiro para um smart contract de segundo nível. O contrato de primeiro nível atua como um ponto de entrada estável cujo endereço nunca muda no site comprometido, direcionando o JavaScript injetado para buscar código de um contrato de segundo nível, dando aos atacantes a capacidade de mudar esse alvo sem alterar o site comprometido." (EtherHiding do UNC5142)

• "O atacante pode atualizar o payload malicioso a qualquer momento para mudar seus métodos de ataque, atualizar domínios ou implantar diferentes tipos de malware." (EtherHiding do UNC5342)

• "O atacante pode modificar payloads a qualquer momento publicando novas transações na blockchain, enquanto os endereços hardcoded do malware nunca mudam, o que significa que as máquinas infectadas buscam automaticamente payloads atualizados sem modificações no código." (Cross-Chain TxDataHiding)

Verificação da realidade: É assim que a internet funciona também

Agentes de ameaça escondem um payload em uma imagem, atualizam a imagem e, de repente, o malware é magicamente diferente. URLs são ponteiros para endereços IP, que são ponteiros para conteúdo hospedado em servidores. Se você não consegue derrubar o conteúdo em si, derruba as rotas usadas para acessá-lo. Se não consegue derrubar as rotas, pede a quem faz o roteamento que as bloqueie.

A principal diferença entre dados arbitrários armazenados em um site versus uma blockchain é que custa dinheiro escrever dados arbitrários na blockchain e há um evento público que ocorre sempre que isso acontece. As taxas de transação podem variar de US$ 1 a mais de US$ 100, dependendo das condições da rede. Algumas chains são mais baratas que outras, o que torna isso menos problemático. Mas ainda tem um custo e esses pagamentos deixam um rastro.

A blockchain é pública, afinal. Provedores de serviços e exchanges têm bancos de dados com atividade correlacionada de usuários finais, endereços IP, impressões digitais de dispositivos e, às vezes, documentos completos de KYC. Mesmo transações básicas exigem alguma interação com elementos tradicionais da internet, que obviamente têm alguma quantidade de dados tradicionais da internet. Quanto de dados depende inteiramente de como o agente de ameaça está interagindo com a blockchain. Mas a blockchain não é anônima.

O desfecho

Em teoria, um sistema de armazenamento descentralizado, irreversível e resistente à censura é o sonho de qualquer agente de ameaça. Na prática, essas variantes de malware "movidas a blockchain" nunca parecem se popularizar como outros métodos do ofício.

O CLICKFIX, por exemplo, foi rapidamente adotado por um grande número de grupos de ameaça diferentes. A ideia de convencer usuários finais a copiar e colar diretamente na linha de comando para contornar proteções de primeira linha foi realmente um divisor de águas. Enquanto isso, sete anos depois, malware em blockchain ainda é novidade suficiente para incendiar o mundo da segurança toda vez que alguém encontra uma nova implementação.

Em parte, isso acontece porque as blockchains não substituem (e não podem substituir) toda a cadeia de infecção, nem mesmo a maior parte dela. Há contas em redes sociais, provedores de hospedagem, registradores de domínios e um ou mais servidores C2 sendo utilizados para entregar vários estágios do malware, apontar para o próximo ou servir de fallback caso um caia. A blockchain está adicionando mais um fluxo de trabalho e mais uma etapa por cima de todos os fluxos já existentes.

Também é porque a blockchain traz seus próprios custos e riscos.

Por que arriscar deixar permanentemente sua OpSec em um livro-razão público para qualquer um descobrir, quando existem hosts à prova de balas, sites WordPress comprometidos e plataformas de conteúdo gratuitas implorando para servir como infraestrutura descartável? Por que arriscar que algo até então indetectado seja instantaneamente detectado por todas as redes Wi-Fi públicas, hotéis, navios de cruzeiro, escolas e/ou empresas que ainda bloqueiam tudo remotamente relacionado a "blockchain" por padrão?

Parte da resposta é simplesmente porque eles podem. É divertido, inteligente, inovador e único. Talvez os torne mais bem-sucedidos — ou pelo menos os faça sentir como golpistas futuristas. Agentes de ameaça também são pessoas. Têm objetivos e motivações. Nem sempre agem de forma racional.

No entanto, acho que a resposta real se revela nos relatórios públicos sobre esses mecanismos. Parece que isso realmente evade a detecção. De alguma forma, apenas usar uma blockchain permite que eles mantenham seus C2s ocultos por mais tempo. De alguma forma, sandboxes ficam confusos quando não conseguem encontrar o malware porque ele está em uma chamada de API de blockchain.

Ironicamente, esse benefício não é porque não pode ser detectado. (Pode). Não é porque é realmente mais anônimo, furtivo ou privado do que tudo o mais que eles fazem. (Realmente não é). O benefício deriva quase inteiramente do fato de que os pesquisadores de segurança percebem que é assim.

Portanto, devemos esperar que os agentes de ameaça continuem experimentando dessa forma. Os pesquisadores de segurança também devem continuar rastreando e publicando sobre essas campanhas. Mas, por enquanto pelo menos, o "malware em blockchain" continua sendo uma nota de rodapé relativamente curiosa em uma história muito maior e muito mais sombria.

A maior parte do nosso tempo e energia deve ser gasta agindo sobre as coisas que têm impacto real nas pessoas e nas instituições — as coisas que previnem perdas e mantêm as pessoas seguras, mesmo quando elas insistem em colar comandos aleatórios em uma janela preta só porque um estranho na internet mandou.

Se por algum motivo os aspectos de blockchain dessas campanhas são realmente o obstáculo para empresas de segurança que tentam detectar, desanonimizar e interromper melhor essas campanhas, o mundo da segurança web3 está mais do que feliz em ajudar. Entre em contato conosco na MetaMask Security.