De XCTDH-campagne verbergt C2‑adressen van zijn malware in Ethereum

Eind september 2026 heeft de op ransomware‑gerichte inlichtingengroep Ransom‑ISAC een rapport gepubliceerd waarin een nieuwe methode wordt beschreven, genaamd “HashHiding”, die wordt gebruikt door de Noord‑Koreaanse ransomware‑campagne XCTDH. Volgens het rapport begonnen de operators van XCTDH met het coderen van het adres van hun command‑and‑control‑server (C2) in het bestemmingsveld van Ethereum‑transacties die geen echt adres vertegenwoordigen of slechts een verwaarloosbare hoeveelheid crypto‑activa bevatten. Deze techniek is bedoeld om het vinden van de C2‑server voor beveiligingsanalisten moeilijker te maken, terwijl de malware nog steeds dynamisch informatie van de blockchain kan ophalen. Met andere woorden, de verschijning van een ogenschijnlijk lege of bijna lege transactie wordt benut om kritieke infrastructuur te verbergen.

Hoe de HashHiding‑techniek werkt

In een standaard Ethereum‑transactie geeft het veld “to” het adres van de ontvanger aan. De onderzoekers van Ransom‑ISAC hebben geconstateerd dat de XCTDH‑operators dit adres vervangen door een hexadecimale tekenreeks die, wanneer gedecodeerd, de identifier van de C2‑server onthult. Het decoderen gebeurt meestal met een omgekeerde hash‑functie of met een vooraf door de malware opgestelde lookup‑tabel. De transactie zelf kan nul ether of een bedrag lager dan 0,0001 ETH bevatten, waardoor hij weinig aantrekkelijk is voor miners en block‑explorers, maar toch permanent op de keten wordt vastgelegd. Deze aanpak maakt gebruik van de permanente en onveranderlijke aard van de blockchain om een verborgen communicatielijn te creëren.

Het herstel‑onderdeel van de malware vraagt een openbaar Ethereum‑node of een RPC‑endpoint op om de laatste transacties te zoeken die het verdachte patroon bevatten. Zodra de juiste transactie is geïdentificeerd, past de malware dezelfde decodeerlogica toe als de operators, reconstrueert het IP‑adres of de domeinnaam van de C2‑server en legt vervolgens een versleutelde verbinding tot stand om payloads of decryptiesleutels te downloaden. Deze methode elimineert de noodzaak voor een dynamische DNS‑server of een hard‑gecodeerde lijst, waardoor de rotatie van de server bijna onzichtbaar blijft voor traditionele detectiesystemen. Het betekent dat de malware zichzelf kan aanpassen zonder zichtbare wijzigingen in netwerkverkeer.

Bewijs en reikwijdte van de XCTDH‑campagne

De door Ransom‑ISAC uitgevoerde analyse identificeerde meer dan 2 600 transacties die overeenkwamen met het HashHiding‑model gedurende een periode van drie maanden, van eind juli tot eind oktober 2026. In die tijd hebben de operators het gecodeerde adres vier keer gewijzigd, wat leidde tot het gebruik van drie verschillende C2‑servers. Elke adreswijziging ging gepaard met een korte testfase waarin enkele tientallen slachtoffers de nieuwe loader ontvingen, voordat de nieuwe configuratie breed werd uitgerold. Deze cijfers bevestigen dat de techniek geen geïsoleerd experiment is, maar een geïntegreerd onderdeel van de infrastructuur van XCTDH. Het toont aan dat de campagne systematisch en schaalbaar opereert.

Naast Ethereum hebben de onderzoekers vastgesteld dat dezelfde operators het HashHiding‑patroon reproduceren op andere slimme‑contract‑netwerken, waaronder BNB Smart Chain, TRON en Aptos. Deze diversificatie dwingt verdedigings‑teams om gelijktijdig meerdere block‑explorers te monitoren en correlatieregels tussen verschillende ledgers te implementeren. Omdat elke keten zijn eigen fee‑ en bevestigingsparameters heeft, wordt het automatiseren van blokkeringen nog complexer; een gemaskeerd adres op Ethereum kan bijvoorbeeld met minimale extra kosten worden gerepliceerd op BNB Smart Chain. Dit onderstreept de noodzaak voor een multi‑chain benadering bij het detecteren van dergelijke tactieken.

Beperkingen van de dissimulatie

Hoewel HashHiding de rotatie van de C2‑server minder vatbaar maakt voor handmatige blokkades, maakt het de malware niet ondetecteerbaar. Analisten kunnen nog steeds verdachte transacties identificeren met filters die gebaseerd zijn op transactie‑grootte, afwezigheid van waarde en terugkerende hexadecimale patronen. Bovendien moet de decodeerlogica in de malware‑binary aanwezig zijn of tijdens de eerste infectie worden gedownload, wat een ankerpunt biedt voor statische of dynamische detectie‑oplossingen. Met andere woorden, de aanwezigheid van de decodeercode biedt een handvat voor beveiligingssoftware om de malware te herkennen.

Incident‑respons‑teams hebben begonnen HashHiding‑transactiesignaturen in hun blockchain‑monitoringsystemen te integreren. Deze handtekeningen zoeken naar bestemmingsadressen die niet overeenkomen met bekende portefeuilles en die gekoppeld zijn aan bedragen onder een vooraf gedefinieerde drempel, meestal 0,001 ETH. Tegelijkertijd kunnen sandbox‑oplossingen het gedrag van de malware instrumenteren om RPC‑aanroepen naar Ethereum en het decoderen van hex‑data te detecteren, waardoor vroege waarschuwingen worden gegenereerd voordat de loader contact maakt met de C2‑server. Deze gecombineerde aanpak versterkt de verdediging tegen zowel de blockchain‑ als de endpoint‑componenten van de aanval.

• Monitor Ethereum-, BNB Smart Chain-, TRON- en Aptos‑transacties op zoek naar HashHiding‑patronen
• Implementeer filters voor minimale waarde om micro‑transacties die verdacht lijken te negeren
• Integreer decodeer‑handtekeningen in EDR‑ en sandbox‑oplossingen
• Blokkeer of herrouteer RPC‑verzoeken naar vertrouwde, door het bedrijf gecontroleerde nodes
• Deel indicatoren van compromis (IOCs) met ISAC‑gemeenschappen voor gecoördineerde respons

Voor bedrijven betekent de aanwezigheid van HashHiding dat het simpelweg op een zwarte lijst zetten van IP‑adressen of domeinen niet langer voldoende is om de infectieketen te onderbreken. Kwaadaardige actoren kunnen het C2‑adres binnen enkele uren wijzigen zonder dat netwerk‑filteringsystemen een alarm krijgen, terwijl er een permanente sporen op de openbare blockchain blijven bestaan. Organisaties moeten daarom hun detectie‑perimeter uitbreiden naar activiteiten op publieke blockchains, door netwerk‑verkeer, RPC‑log‑calls en intelligence over verdachte transacties te combineren. Dit onderstreept de noodzaak om blockchain‑monitoring op te nemen in de algehele beveiligingsstrategie.

In het licht van deze bevindingen worden cybersecurity‑teams aangemoedigd hun ransomware‑playbooks bij te werken met procedures voor blockchain‑monitoring en specifieke waarschuwing‑regels voor de HashHiding‑techniek. Ransom‑ISAC raadt bovendien aan de samenwerking tussen cloud‑serviceproviders, block‑explorers en exchange‑platformen te versterken, zodat gemaskeerde adressen snel kunnen worden gemeld en geneutraliseerd. Door deze maatregelen te implementeren, kunnen verdedigers het voordeel dat de verberging in Ethereum biedt aan XCTDH‑operators verminderen en de reikwijdte van toekomstige campagnes beperken.