XCTDH 攻擊活動在以太坊中隱蔽惡意軟體的指揮伺服器地址

2026 年 9 月底，專門研究勒索軟體的情報組織 Ransom‑ISAC 發布了一份報告，詳細說明了一種名為「HashHiding」的新方法，該方法被北韓被廣泛指認的勒索軟體活動 XCTDH 所使用。根據報告，XCTDH 的操作人員開始將指揮與控制（C2）伺服器的地址編碼到以太坊交易的收款欄位，這些欄位不對應任何真實地址，或僅傳送極少量的加密資產。此技術旨在讓安全分析師更難發現 C2 伺服器，同時保留惡意軟體能夠動態從區塊鏈取得資訊的能力。

HashHiding 技術如何運作

在標準的以太坊交易中，「to」欄位指示收款地址。Ransom‑ISAC 的研究人員觀察到，XCTDH 的操作人員將此地址替換為一段十六進位字串，該字串在解碼後會顯示 C2 伺服器的識別碼。解碼通常依賴於反向雜湊函式或惡意軟體預先建立的對照表。交易本身可能不含任何以太幣，或金額低於 0.0001 ETH，這使得它對礦工和區塊瀏覽器的吸引力很低，但足以永久寫入區塊鏈。

惡意軟體的取回模組會查詢公共的以太坊節點或 RPC 介面，以提取包含可疑模式的最新交易。交易被識別後，惡意軟體程式碼套用與操作人員相同的解碼邏輯，重建 C2 伺服器的 IP 位址或域名，然後建立加密連線以下載有效載荷或解密金鑰。此做法消除了對動態 DNS 伺服器或硬編碼清單的需求，使得伺服器的輪換對傳統偵測系統幾乎不可見。

XCTDH 攻擊活動的證據與範圍

Ransom‑ISAC 所進行的調查發現，在 2026 年 7 月底至 10 月底的三個月期間，超過 2 600 筆交易符合 HashHiding 模式。於此期間，操作人員四次更改編碼的地址，導致使用了三個不同的 C2 伺服器。每次地址變更都伴隨短暫的測試期，數十名受害者會收到新的載入程式，之後新配置才會大規模散佈。這些數據證實此技術並非孤立測試，而是 XCTDH 基礎設施鏈條中已整合的組件。

除了以太坊之外，研究人員發現相同的操作人員在其他智慧合約網路上也復製 HashHiding 方案，包括 BNB Smart Chain、TRON 與 Aptos。此多元化迫使防禦團隊同時監控多個區塊瀏覽器，並在不同帳本之間建立關聯規則。每條鏈都有其獨特的手續費與確認參數，這進一步增加自動封鎖的難度，因為在以太坊上隱蔽的地址可以以極低成本快速在 BNB Smart Chain 上複製。

隱蔽技術的限制

雖然 HashHiding 技術使 C2 伺服器的輪換更能抵抗手動封鎖，但它並未讓惡意軟體變得不可偵測。分析師仍可透過基於交易大小、未轉移價值以及重複出現的十六進位模式的過濾器，辨識可疑交易。此外，執行解碼的惡意軟體程式碼必須存在於二進位檔中，或在首次感染時下載，這為基於靜態或動態分析的偵測方案提供了切入點。

事件回應團隊已開始在區塊鏈監控系統中加入 HashHiding 交易簽名。這些簽名會搜尋不屬於任何已知錢包且金額低於預設門檻（通常為 0.001 ETH）的收款地址。同步地，沙箱解決方案可以對惡意軟體行為進行儀表化，以偵測對以太坊 RPC API 的呼叫與十六進位資料的解碼，從而在載入程式聯絡 C2 伺服器前觸發早期警報。

• 監控以太坊、BNB Smart Chain、TRON 與 Aptos 交易，尋找 HashHiding 模式
• 部署最小金額過濾器，以忽略可疑的微交易
• 在 EDR 與沙箱解決方案中整合解碼簽名
• 封鎖或重新導向 RPC 請求至企業控制的可信節點
• 與 ISAC 社群分享妥協指標 (IOCs)，以協調回應

對企業而言，HashHiding 的存在意味著僅僅將 IP 或域名列入黑名單已不足以中斷感染鏈。惡意行為者可以在數小時內更換 C2 地址，而不觸發網路過濾系統，同時在區塊鏈上留下永久痕跡。組織因此必須將偵測範圍擴展至公共區塊鏈活動，結合網路流量分析、RPC 呼叫日誌與可疑交易情報。

鑑於上述發現，資安團隊應更新勒索軟體的應變手冊，納入區塊鏈監控程序與針對 HashHiding 技術的警示規則。Ransom‑ISAC 亦建議加強雲端服務供應商、區塊瀏覽器與交易所之間的合作，以便快速通報與中和隱蔽地址。採取這些措施後，防禦者將能削減以太坊隱蔽所賦予 XCTDH 操作者的優勢，並限制其未來攻擊活動的範圍。