Aeternum es un nuevo cargador de botnets diseñado para evitar ser desactivado. Para lograrlo, almacena sus instrucciones en Polygon (una cadena de bloques pública), lo que crea un canal de control replicado y muy difícil de eliminar. El malware infecta sistemas Windows a través de diversas vías, incluyendo un cargador empaquetado, paquetes de XWorm y XMRig, y código Python oculto en un instalador falso de DBeaver.

Aeternum es un nuevo cargador de botnets diseñado para resistir los intentos de clausura. Almacena instrucciones en Polygon, una blockchain pública, creando un canal de control ampliamente replicado que es difícil de eliminar.

El malware llega a los sistemas Windows a través de varias rutas. Los investigadores encontraron un cargador empaquetado, un paquete de XWorm y XMRig, y código Python en un instalador falso de DBeaver.

Una vez ejecutadas, las muestras verifican la presencia de máquinas virtuales y herramientas de seguridad, establecen persistencia en el inicio y luego buscan sus siguientes instrucciones.

Los investigadores de Unit 42 identificaron la campaña como una operación en evolución que utiliza contratos inteligentes de Polygon para el comando y control (C2).

Su análisis vincula tres muestras a través de patrones de código compartidos y funciones de contrato, demostrando cómo un mismo servicio puede dirigir cargadores, spyware, robo de datos y minería de criptomonedas sin depender de un único servidor convencional.

Los investigadores de Unit42 dijeron en un informe que el impacto es más amplio que un solo archivo malicioso. Aeternum puede entregar más malware, recopilar datos del host y de la billetera, y enviarlos a través de Telegram u otro servidor de control.

Durante el estudio, los investigadores registraron más de 29,000 eventos de detección hasta el 4 de junio de 2026, evidencia de que el control respaldado por blockchain es una herramienta criminal práctica.

La botnet Aeternum utiliza contratos inteligentes de Polygon

Aeternum utiliza un contrato inteligente como un tablero de anuncios público para los dispositivos infectados. Esto significa que quienes responden no pueden depender de un único proveedor de alojamiento o registrador para cortar la comunicación de la botnet.

Deben identificar el dispositivo infectado y detener su actividad local, incluso cuando la búsqueda de control permanece disponible públicamente y amenaza con alcanzar otros sistemas rápidamente.

Cada bot consulta los servicios de llamada a procedimiento remoto (RPC) de Polygon y lee un valor del contrato que contiene ya sea un comando o un destino para la siguiente etapa. Bloquear un host web o un dominio no elimina esas instrucciones almacenadas en la cadena.

El cargador utiliza una función de recuperación de dominios para obtener una clave XOR y un dominio de comando y control cifrado.

Los operadores pueden usar una función administrativa para reemplazar el destino almacenado, redireccionando las infecciones existentes.

Este diseño se asemeja a la técnica de resolución por blockchain analizada en la infraestructura de comandos de SharkStealer, pero Aeternum la aplica a través de varios componentes del malware.

Un cargador analizado se desempaquetó a sí mismo, copió archivos en AppData y creó un acceso directo de inicio de Windows antes de contactar a Polygon. Luego obtuvo archivos de apariencia benigna y maliciosos desde repositorios de código.

La DLL recopiló información del sistema y la preparó para la transferencia a través de Telegram, demostrando cómo una búsqueda en una blockchain pública puede conectarse silenciosamente a servicios web ordinarios utilizados para la entrega y el movimiento de datos.

Una implementación débil del cifrado también dio una oportunidad a los defensores. La dirección del contrato y la carga útil devuelta fueron suficientes para que los investigadores recuperaran instrucciones cifradas, incluidos los comandos de descarga.

Tú y tu equipo deberían buscar tráfico inusual de Polygon JSON-RPC y luego correlacionarlo con accesos directos de inicio, descargas y actividad de la API de Telegram.

Las cargas útiles convierten el acceso en robo

Una segunda muestra utilizó la misma búsqueda en la cadena para obtener una ubicación de Pastebin que contenía la configuración de XMRig.

Instaló una herramienta de acceso remoto XWorm y un minero, mientras que una etapa posterior envió datos cifrados de la víctima a una dirección externa.

Su capacidad de seguimiento se asemeja a la actividad reciente del malware XWorm, donde el robo de credenciales y el secuestro de sesiones también son características prominentes.

El código fuente de Python apunta a una operación dirigida. Suplantó un instalador de DBeaver, rechazó entornos de análisis ligeros, creó persistencia e inyectó código en un binario firmado de Windows antes de que se iniciara el monitoreo de seguridad.

También incluye rutinas dirigidas a obtener credenciales de más de 55 extensiones de navegador de criptomonedas y 10 billeteras de escritorio.

Telegram soporta tanto el reconocimiento como la exfiltración en esta rama, mientras que el uso de JSON lleno de datos basura tiene como objetivo hacer que los patrones de tráfico sean más difíciles de reconocer.

Por lo tanto, los atacantes no necesitan mantener ellos mismos cada pieza de infraestructura. Abusos similares de servicios públicos han aparecido en campañas de XWorm que usan plataformas de Paste, lo que refuerza el valor de monitorear el comportamiento en lugar de confiar en un servicio por su nombre.

Es probable que las botnets basadas en blockchain continúen, por lo que deberías investigar los indicadores a continuación, restringir los ejecutables no aprobados y revisar la telemetría en busca de consultas de contratos que precedan a descargas, inyecciones o transferencias de datos.

También deberías generar alertas sobre lanzamientos de procesos desde carpetas escribibles por el usuario y verificar las conexiones salientes realizadas inmediatamente después de una búsqueda en la blockchain. Los operadores pueden rotar los destinos sin necesidad de reconstruir la botnet.

Fuentes:
https://cybersecuritynews.com/aeternum-botnet-uses-polygon/