A campanha XCTDH mascara os endereços de comando dos seus malwares no Ethereum

No final de setembro de 2026, o grupo de inteligência especializado em ransomware Ransom‑ISAC publicou um relatório detalhando um novo método, denominado « HashHiding », utilizado pela campanha de ransomware XCTDH, amplamente atribuída à Coreia do Norte. Segundo o relatório, os operadores da XCTDH começaram a codificar o endereço do servidor de comando e controlo (C2) em campos de destinatário de transações Ethereum que não correspondem a nenhum endereço real ou que transportam apenas uma quantidade insignificante de cripto‑activos. Esta técnica visa tornar a descoberta do servidor C2 mais difícil para os analistas de segurança, ao mesmo tempo que mantém a capacidade do malware de recuperar dinamicamente a informação a partir da blockchain. A estratégia baseia‑se na utilização de transações que aparentam ser vazias ou de valor insignificante, mas que carregam informação codificada que só pode ser interpretada pelo malware.

Como funciona a técnica HashHiding

Numa transação Ethereum padrão, o campo « to » indica o endereço do destinatário. Os investigadores da Ransom‑ISAC observaram que os operadores da XCTDH substituem esse endereço por uma cadeia hexadecimal que, quando decodificada, revela o identificador do servidor C2. A decodificação baseia‑se geralmente numa função de hash invertida ou numa tabela de correspondência pré‑estabelecida pelo malware. A própria transação pode conter zero ether ou um montante inferior a 0,0001 ETH, o que a torna pouco interessante para os mineiros e exploradores de blocos, mas suficiente para ser registada de forma permanente na cadeia. Esta prática permite que o endereço real do servidor C2 permaneça oculto à primeira vista, dificultando a sua indexação por ferramentas de análise padrão.

O componente de recuperação do malware consulta um nó Ethereum público ou um ponto de acesso RPC para extrair as transações mais recentes que contenham o padrão suspeito. Uma vez identificada a transação, o código do malware aplica a mesma lógica de decodificação utilizada pelos operadores, reconstrói o endereço IP ou o nome de domínio do servidor C2 e, em seguida, estabelece uma conexão cifrada para descarregar as cargas úteis ou as chaves de descodificação. Esta abordagem elimina a necessidade de um servidor DNS dinâmico ou de uma lista codificada rigidamente, tornando a rotação do servidor quase invisível aos sistemas de deteção tradicionais. O processo de decodificação ocorre localmente no ambiente comprometido, garantindo que a informação sensível nunca seja transmitida em texto claro.

Provas e alcance da campanha XCTDH

A investigação conduzida pela Ransom‑ISAC permitiu identificar mais de 2 600 transações correspondentes ao modelo HashHiding ao longo de um período de três meses, do final de julho ao final de outubro de 2026. Durante essa janela, os operadores modificaram o endereço codificado quatro vezes, o que levou à utilização de três servidores C2 distintos. Cada mudança de endereço foi acompanhada por um curto período de teste em que várias dezenas de vítimas receberam o novo carregador, antes que a nova configuração fosse amplamente disseminada. Estes números confirmam que a técnica não é um teste isolado, mas sim um componente integrado da cadeia de infraestrutura da XCTDH. A análise mostrou que cada mudança de endereço foi acompanhada por um pico de atividade de download do novo carregador, indicando uma fase de transição controlada.

Para além do Ethereum, os investigadores constataram que os mesmos operadores reproduzem o padrão HashHiding noutros redes de contratos inteligentes, nomeadamente BNB Smart Chain, TRON e Aptos. Esta diversificação obriga as equipas de defesa a monitorizar simultaneamente vários exploradores de blocos e a implementar regras de correlação entre os diferentes registos distribuídos. O facto de cada cadeia possuir os seus próprios parâmetros de taxas e de confirmação complica ainda mais a implementação de um bloqueio automatizado, pois um endereço mascarado no Ethereum pode ser rapidamente replicado na BNB Smart Chain com um custo marginal. A presença de múltiplas cadeias aumenta a superfície de ataque e requer uma abordagem de monitorização multicanal por parte das equipas de defesa.

Limites da ocultação

Embora a técnica HashHiding torne a rotação do servidor C2 mais resistente a bloqueios manuais, ela não torna o malware indetectável. Os analistas ainda podem identificar as transações suspeitas através de filtros baseados no tamanho da transação, na ausência de valor transferido e na presença de padrões hexadecimais recorrentes. Além disso, o código do malware que efetua a decodificação deve estar presente no binário ou ser descarregado durante a primeira infeção, o que oferece um ponto de ancoragem para as soluções de deteção baseadas em análise estática ou dinâmica. Portanto, embora a técnica complique a deteção, ainda existem vetores de análise que podem ser explorados pelos investigadores.

As equipas de resposta a incidentes começaram a integrar assinaturas de transação HashHiding nos seus sistemas de monitorização da blockchain. Estas assinaturas procuram endereços de destino que não correspondam a nenhuma carteira conhecida e que estejam associados a montantes inferiores a um limiar pré‑definido, geralmente 0,001 ETH. Paralelamente, as soluções de sandboxing podem instrumentar o comportamento do malware para detetar chamadas às APIs RPC do Ethereum e a decodificação de dados hexadecimais, o que gera alertas precoces antes que o carregador contacte o servidor C2. Estas assinaturas são distribuídas através de feeds de inteligência e podem ser integradas em plataformas SIEM para automação da deteção.

• Monitorizar transações Ethereum, BNB Smart Chain, TRON e Aptos à procura de padrões de HashHiding
• Desplegar filtros de valor mínimo para ignorar micro‑transações suspeitas
• Integrar assinaturas de decodificação nas soluções EDR e sandbox
• Bloquear ou redirecionar pedidos RPC para nós de confiança controlados pela empresa
• Partilhar indicadores de comprometimento (IOCs) com as comunidades ISAC para uma resposta coordenada

Para as empresas, a presença de HashHiding significa que a simples inclusão em lista negra de endereços IP ou domínios já não basta para interromper a cadeia de infeção. Os atores maliciosos podem mudar o endereço C2 em poucas horas sem alertar os sistemas de filtragem de rede, ao mesmo tempo que mantêm um registo permanente na blockchain. As organizações devem, portanto, ampliar o seu perímetro de deteção para incluir as atividades da blockchain pública, combinando análises de tráfego de rede, registos de chamadas RPC e inteligência sobre transações suspeitas. Consequentemente, a estratégia de defesa deve evoluir para incluir a correlação de indicadores provenientes da blockchain com os registos internos de rede.

À luz destas descobertas, as equipas de cibersegurança são convidadas a atualizar os seus playbooks de resposta a ransomware, incluindo procedimentos de monitorização da blockchain e regras de alerta específicas para a técnica HashHiding. O Ransom‑ISAC recomenda ainda reforçar a cooperação entre os fornecedores de serviços de cloud, os exploradores de blocos e as plataformas de troca, a fim de facilitar a notificação e a neutralização rápida dos endereços mascarados. Ao adotar estas medidas, os defensores poderão reduzir a vantagem que a ocultação no Ethereum confere aos operadores da XCTDH e limitar o alcance das suas futuras campanhas. A implementação destas recomendações contribuirá para uma postura de segurança mais resiliente e proativa face a ameaças emergentes que utilizam infraestruturas descentralizadas.