Malwares usam Blockchains EVM, Solana e TON para ocultar servidores de C2

Malwares como o TONResolver estão usando blockchains como Ethereum Virtual Machine (EVM), Solana e TON para esconder seus servidores de Comando e Controle (C2). Essa técnica, conhecida como 'dead drop resolver' (DDR), permite aos atacantes buscar endereços C2 dinamicamente. É um truque que dificulta a detecção e derrubada da infraestrutura maliciosa. A Netskope, por exemplo, detalhou como oito famílias de malware já usam esse método.

A tática funciona assim: o malware faz uma consulta de leitura a um contrato inteligente público na blockchain. Nas redes EVM (como Ethereum e Polygon), ele usa a função `eth_call`, que não gera custos nem rastros na cadeia. Na Solana, ele abusa do campo `memo` em transações normais. Já na TON, malwares como o TONResolver executam um `get_domain` em um smart contract, recebendo o domínio do C2. Isso gera resistência à remoção e mistura o tráfego malicioso com requisições legítimas de aplicações descentralizadas, mascarando a ameaça.

Para combater isso, analistas de segurança precisam monitorar processos que não são navegadores, como `node`, `bun` ou `curl`, que fazem consultas RPC anômalas a provedores públicos. Decodificar as respostas ajuda a identificar o endereço C2 real. A cobertura anterior do CEVIU, em 12 de agosto de 2026, já destacava o Aeternum, um malware que usava a blockchain Polygon para C2. Também em 19 de junho de 2026, noticiamos o GlassWASM, um malware que empregava Solana para C2 dinâmico. A notícia atual aprofunda como essa tática se padronizou e é usada em diferentes blockchains.

A cobertura anterior do CEVIU já mostrava que o uso de blockchain para C2 era uma realidade emergente. Em 4 de março de 2026 e novamente em 12 de agosto de 2026, informamos sobre o Aeternum Loader, que utilizava a blockchain Polygon para suas comunicações C2. Também em 19 de junho de 2026, destacamos o GlassWASM e seu uso de C2 dinâmico via Solana.

A novidade é a padronização e o aprofundamento da técnica de 'dead drop resolver' em diferentes ecossistemas de blockchain. Antes, falávamos de exemplos específicos. Agora, vemos a técnica generalizada para EVM (com `eth_call`), Solana (com o campo `memo`) e TON (com `get_domain`), atingindo uma maturidade que a torna uma tática comum em diversas famílias de malware, como o TONResolver. Isso também se manifesta em ataques a cadeias de suprimentos, como o recente comprometimento ChainDrop.

Para empresas e governos, a disseminação de malwares usando blockchains para C2 eleva drasticamente a complexidade da cibersegurança. As defesas tradicionais têm dificuldade em distinguir requisições maliciosas de tráfego legítimo para redes blockchain, pois ambos usam os mesmos provedores RPC de alta reputação. Isso cria um ponto cego perigoso para a detecção de ameaças.

A natureza descentralizada e a resistência à censura das blockchains, que são benéficas para a privacidade e a autonomia, tornam-se uma vantagem para os atacantes. A capacidade de mudar rapidamente os endereços C2 e a dificuldade em derrubar a infraestrutura maliciosa exigem uma reavaliação completa das estratégias de monitoramento de rede e endpoints. É preciso focar em processos anômalos e na decodificação de dados suspeitos para identificar essas ameaças antes que causem danos maiores.