Il 10 agosto 2026 Palo Alto Networks Unit 42 ha pubblicato l'analisi di Aeternum, un loader botnet in C++ che usa smart contract sulla blockchain pubblica Polygon come unica infrastruttura di comando. I dispositivi infetti interrogano endpoint RPC pubblici per leggere istruzioni crittografate e in plaintext scritte on-chain. Questa analisi si basa su un unico report tecnico di Unit 42, senza conferme indipendenti.
- Aeternum è un loader botnet in C++ che usa smart contract sulla blockchain pubblica Polygon per l'infrastruttura C2.
- Il campione analizzato ha utilizzato 22 diversi indirizzi smart contract, trovati solo in analisi di rete, non in deobfuscation.
- La crittografia PBKDF2HMAC con self-salting (password come salt) viola NIST SP 800-132 e permette deobfuscation con due variabili note.
- Una DLL secondaria (DotNetZip.dll) si connette a un bot Telegram con credenziali hard-coded per C2 aggiuntivo.
Il meccanismo: comandi on-chain, nessun server da abbattere
Gli attori delle minacce "operate Aeternum by writing encrypted and plaintext instructions directly using smart contracts", secondo Unit 42. I dispositivi infetti inviano richieste HTTP POST JSON-RPC a endpoint pubblici di Polygon, con campo 'to' per l'indirizzo contratto e 'data' con metodo 0xb68d1809 (getDomain()). La risposta HTTP 200 contiene il payload.
Il campione ha usato 22 indirizzi smart contract diversi. Come notano gli stessi ricercatori: "we did not find the smart contract addresses either through deobfuscation or plain-text pattern search. During network analysis, this sample used 22 different smart contract addresses". Gli indirizzi non sono hard-coded nel binario.
"Aeternum is a recently discovered C++ botnet loader that shifts its command-and-control (C2) infrastructure entirely to the public Polygon blockchain" — Palo Alto Networks Unit 42
Il campione e la sua struttura
Il campione analizzato ha hash SHA256 5bfb25b8255b61e5ffdf6804451534bcfa9f1dfd225e6c8cdcefb5f50d846898 e nome Build.exe. È un PE Windows 32-bit UPX-packed. La persistenza usa shortcut in Startup directory con pattern Wmi_Framework_APIKEY_wmsnet_<random_value>.lnk.
Build.exe lancia tre binari: wmiframework.exe, ZrvEsJQzWQ.exe e STAAAAAS.exe. Il malware scarica da GitHub putty.exe (verificato come PuTTY 0.83 legittimo) e DotNetZip.dll (malevola). Il commit GitHub del DLL risale a ottobre 2025.
Il flaw crittografico e la deobfuscation
La crittografia usa PBKDF2HMAC con SHA256, ma con self-salting: la password stessa funge da salt. Questo viola NIST SP 800-132. La chiave derivata è di 32 byte (256-bit) per AES-GCM.
Come afferma Unit 42: "this oversight allows the decryption of the malicious payload by using two known variables: the smart contract address and the payload". Il pattern riconoscibile è \x00\x00\x00[ENC bytes]\x00[KEY bytes]\x00\x00\x00.
Telegram come C2 secondario
DotNetZip.dll contiene credenziali hard-coded per connettersi a un bot Telegram (DLLSendC2Bot). Il traffico verso api.telegram[.]org è confermato in analisi di rete. Unit 42 ha analizzato tre campioni collegati: loader Aeternum, malware Python con API Telegram, e minaccia ibrida XWorm RAT/XMRig.
Su un campione ibrido, Unit 42 nota cautela metodologica: "we suspect that this particular sample differs from others, since we did not find the smart contract addresses either through deobfuscation or plain-text pattern search". Questo indica variabilità tra campioni, non necessariamente un'unica campagna omogenea.
Perché è importante
Fatti documentati. La fonte primaria non specifica se la campagna sia attivamente in corso o storica. Non quantifica vittime o impatti. Non chiarisce la relazione temporale esatta tra i tre campioni analizzati.
Interpretazione di DeafNews. Il caso Aeternum presenta un paradosso strutturale: Polygon è progettata per visibilità e immutabilità pubblica, qualità che qui proteggono l'attore più che la vittima. Gli investigatori possono leggere i comandi on-chain, ma senza deobfuscation automatizzata — che la fonte ha sviluppato ad hoc — il volume di 22 contratti rende il monitoraggio manuale impraticabile. La blockchain, venduta come trustless, diventa strumento di trust per criminali: l'immutabilità che garantisce agli utenti legittimi garantisce anche la persistenza dei comandi malevoli.
La tensione tra visibilità pubblica della chain e opacità dell'attore è il cuore del problema. Gli endpoint RPC sono pubblici e non bloccabili singolarmente; gli smart contract non sono hard-coded nel malware, quindi l'analisi statica non rivela gli indirizzi. La detection tradizionale basata su indicatori statici — domini, IP, hash — incontra un limite: gli indirizzi cambiano, i nodi sono molteplici, la catena è aperta.
Secondo l'interpretazione di DeafNews, questo non significa che gli indicatori statici siano inutili in assoluto, ma che la fonte documenta uno spostamento: gli indirizzi non sono nel binario, quindi l'analisi statica da sola non li rivela. L'indagine richiede analisi di rete, che è più costosa e meno scalabile.
Cosa cambia
Per il settore della threat intelligence, Aeternum impone una verifica: le piattaforme blockchain pubbliche sono state usate prima per hosting di payload, ma qui fungono da C2 primario. La differenza è funzionale, non solo tecnica. Il C2 richiede latenza bassa e affidabilità; la blockchain, con i suoi tempi di conferma, sembra contro-intuitiva. Eppure il campione la usa, con 22 indirizzi che suggeriscono adattamento a limiti di rate o di disponibilità.
La fonte non specifica se questo modello sia replicabile o se rappresenti un'eccezione. Non fornisce costi di deployment né valuta la "resilienza intrinseca" della blockchain come dato oggettivo. Unit 42 non raccomanda mitigazioni operative specifiche; l'analisi è descrittiva, non prescrittiva.
Per gli analisti, il caso documenta che la deobfuscation è possibile — la crittografia è substandard — ma richiede sviluppo custom. Il self-salting è un errore che semplifica il lavoro difensivo, ma solo a chi ha risorse per analisi di rete e sviluppo strumenti dedicati.
L'analisi si basa su un unico report tecnico di Palo Alto Networks Unit 42, pubblicato il 10 agosto 2026, senza conferme indipendenti. Alcune affermazioni degli stessi autori sono marcate come "suspect"; il campione analizzato potrebbe differire da altre varianti. La fonte non specifica se la campagna sia attivamente in corso.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.