C2指令をブロックチェーンに置くボットネット「Aeternum」— 押収不能な「永続的脅威」が登場（Unit 42分析）

攻撃者の指令を載せる「司令塔」のサーバーを押収すれば、ボットネット（不正プログラムに感染した端末の群れ）は機能を失う。これが従来の対策の常套手段だった。だが、司令塔そのものをブロックチェーン上に置かれたら、どうすればいいのか。

Palo Alto Networksの脅威研究チームUnit 42は2026年8月10日、**C2（指令制御）基盤を公開ブロックチェーン「Polygon」に置く新種のボットネット「Aeternum」**の分析を公開した。感染した端末は、世界中の誰もが読める公開ブロックチェーン上の「スマートコントラクト」（ブロックチェーン上で自動実行されるプログラム）から暗号化された指令を読み取る。管理者だけが指令を更新でき、外部からは消せない。Unit 42はこの構造を「永続的脅威（The Permanent Threat）」と呼ぶ。

Aeternumとは何か

AeternumはC++で書かれたボットネット用ローダー（感染端末に追加の不正プログラムを展開する役割のソフトウェア）だ。開発者自身は「Aeternum C2 BotNet Loader」と名乗って配布している。Unit 42はこの活動に属する3つのマルウェアサンプルを解析した。

1. Aeternumローダー（Build.exe）— 感染端末に常駐し、ブロックチェーンから指令を取得する本体
2. XWorm + XMRig + 情報窃取の複合型（XBinderOutput_protected.exe）— 遠隔操作ツールと暗号資産採掘を同時展開
3. Python製ソースコード — 感染チェーンの全体像とC2の仕組みが記された本体コード

3つのサンプルは、いずれも同じ「関数セレクタ」を使ってPolygonのスマートコントラクトに問い合わせる。Unit 42は、単一の攻撃グループがコードを改良しながら使い続けているとみている（コンパイラのバージョンがsolc 0.8.0から0.8.30へと段階的に更新されている）。

C2をブロックチェーンに置く仕組み

AeternumのC2通信は次のように行われる。

• 感染端末は、Polygonの公開RPCエンドポイント（ブロックチェーンに問い合わせるための公開API）へJSON-RPC形式のHTTPリクエストを送る。使われるエンドポイントには polygon-mumbai-bor-rpc.publicnode.com などがある
• リクエストにはスマートコントラクトのアドレスと、関数セレクタ 0xb68d1809（getDomain()＝ドメイン取得関数）が含まれる
• 応答として返ってくるペイロードを復号すると、C2サーバーのドメインや追加の指令が現れる

コントラクトのストレージには、管理者（配布者のウォレット）のアドレスと、XOR鍵とBase64で暗号化されたC2ドメインが保存される。ドメインの更新は、管理者専用の関数 0xb249cd2d（updateDomain()） でのみ行える。実際、「LenAI」という通称の運営者ウォレットがこの関数を使って新たなC2ドメイン（cdnjsdelivr[.]beer など）をブロックチェーンに書き込んでいるのが確認されている。

さらに、この暗号化は「自己塩漬けパスワード」（パスワード自身を塩＝鍵の撹拌材料として使う方式）という既知の暗号上の欠陥を含む。米国国立標準技術研究所（NIST）の指針（SP 800-132）に反する実装で、コントラクトのアドレスとペイロードが分かれば復号できてしまう。Unit 42は復号スクリプトで実際にC2指令を復元している。

なぜブロックチェーンを使うのか。Unit 42は次の利点を挙げる。

• 押収・停止ができない — 指令が載っているのは誰のものでもない公開ブロックチェーン。当局によるサーバー押収やドメイン差し押さえが効かない
• 低コストで高い耐障害性 — 自分でサーバーを立てて維持する必要がなく、Polygonの公開RPCを使えば運用コストはほとんどかからない
• 検知が難しい — 一見すると「普通のブロックチェーン利用」に見える通信に紛れ込ませられる

感染の流れと耐解析機能

感染の入口は、データベース管理ツール「DBeaver」のインストーラーを装うソーシャルエンジニアリング（実在の人物や製品になりすまして信頼させ、不正プログラムを実行させる手口）だ。攻撃者は「高価値の実機」だけを狙うため、実行前に次のような耐解析チェックを入念に行う。

• サンドボックス検知 — 解析環境でよく使われるユーザー名・マシン名のブラックリスト照合、メモリ8GB以上かの確認
• 仮想環境の判定 — まっさらな仮想マシン（VM）を避けるため、ユーザーの「ダウンロード」フォルダにZone.Identifier（ファイルの入手元を示すWindowsのメタ情報）が存在するかを確認
• チェックを通過すると、スタートアップ（自動起動）フォルダに偽装ショートカット（Wmi_Framework_APIKEY_wmsnet_<乱数>.lnk や PythonLauncher-*.lnk）を作成して常駐し、Early Bird APC注入という手法で正規の署名付きプロセス（dpapimig.exe）に悪性コードを注入する

窃取と追加ペイロード

感染後、AeternumはGitHub上のリポジトリ（github.com/lencod/、github.com/Mash3Do/）から追加ファイルを取得する。解析で確認されたのは、正規のPuTTY 0.83インストーラー（テスト用とみられる）と、悪性の DotNetZip.dll だ。攻撃者は同じファイル名のまま中身を悪性ファイルに差し替えられるため、これらのリポジトリからファイルを取得したユーザーは誰でも被害者になり得るとUnit 42は警告する。

情報窃取はTelegram API経由で行われる。DotNetZip.dllにはハードコードされたチャットIDとボットのAPIトークンが埋め込まれており、収集した情報をTelegramのチャットへ送信する。送られるのはCPU・メモリ・ディスク・GPUの情報、管理者権限の有無、UAC（Windowsの権限昇格確認機能）の状態、スクリーンショットなどだ。解析対象のサンプルでは、窃取内容のテキストがロシア語（キリル文字）で書かれていた。

複合型サンプル（XBinderOutput_protected.exe）は、さらに次の機能を持つ。

• XWorm v7.4（遠隔操作ツール）— 感染端末を自由に操作する
• XMRig（暗号資産「Monero」の採掘ツール）— 設定はPastebinのURLから取得。監視ツール（Process Hackerなど）の起動を検知すると採掘を一時停止して身を隠し、EDR（端末上のセキュリティ製品）のプロセスを強制終了する「kill-targets」機能も備える
• 情報窃取 — 窃取データをAES-128で暗号化してC2サーバー（193.221.200[.]219、sekirolegion.duckdns.org）へ送信

Python製サンプルには、55以上の暗号資産ブラウザ拡張機能と10のデスクトップウォレットから認証情報を収集するルーチンがハードコードされていた。ブロックチェーンからのC2ドメイン取得を「C2サーバーが潰されたときの予備（フォールバック）」として使う仕組みも確認されており、インフラ破壊への耐性を強く意識した設計になっている。

なお、Unit 42の製品（Advanced Threat Prevention）は、この活動に関連する検知イベントを29,000件以上記録している（2026年6月4日時点）。この数字は、感染が広範囲に及んでいることを示唆している。

なぜ「押収不能」なのか

従来のボットネット対策は、C2サーバーの押収・ドメインの差し押さえ・サイバー犯罪インフラの切断が中心だった。Aeternumの指令は公開ブロックチェーン上のスマートコントラクトにあり、誰も消せない。管理者（運営者）だけが updateDomain() で内容を更新できるが、第三者には改ざんも削除もできない。さらに運営者は、検知されたコントラクトを捨てて新しいコントラクトに次々と移転できる（サンプル1だけで22個のコントラクトアドレスが使われていた）。

Unit 42の分析によると、攻撃者は従来の自己ホスト型C2（自前のサーバーで運用するC2）から、より回避的で耐障害性の高い選択肢へ移行しつつある。Unit 42は、ブロックチェーンをC2に使う流れが今後も続くとみている。ブロックチェーンC2は「止められない」だけでなく、「安価」で「世界中から到達可能」という点で、攻撃者にとって極めて使い勝手のいい選択肢になっている。

今、何をすべきか

ブロックチェーンC2のボットネットは、サーバー押収型の従来対策が効かない。防御の軸足は「感染させない」と「特徴的な通信を早期に捉える」に置く。

1. ソフトウェアの入手経路を管理する — 正規ツールのインストーラーを装う配布に注意。DBeaverなどの開発ツールは必ず公式サイト・公式リポジトリから入手し、実行ファイルのハッシュを確認する運用を徹底する
2. 特徴的な通信パターンを監視する — エンドポイントから公開ブロックチェーンのRPCエンドポイントへのJSON-RPC通信（特にPolygon関連）、Telegram APIへのシステム情報の送信、GitHubリポジトリからの実行ファイル取得は要注意パターン。EDR・プロキシ・DNSログで確認できるようにしておく
3. IOC（侵害指標）を共有・照合する — Unit 42が公開したハッシュ値、関数セレクタ 0xb68d1809、RPCエンドポイント群、Telegramのボットトークン・チャットIDを自組織の検知ルールに追加する
4. 暗号資産を扱う端末は分離して監視する — ウォレットや取引所の拡張機能を入れた端末は、感染時の被害が大きい。専用端末化または厳重な監視対象にする
5. 侵害の兆候を確認する — スタートアップフォルダの不審なショートカット（Wmi_Framework_APIKEY_wmsnet_*.lnk など）、dpapimig.exe・WmiPrvSE.exe の不審な起動、心当たりのない採掘プロセス（miner.exe）が見つかったら、端末を隔離してインシデント対応を開始する

ブロックチェーンC2は「壊せない」が、「見えない」わけではない。C2の通信は結局、何らかのネットワークを流れる。通信の「行き先」と「中身」を普段から見えるようにしておくことが、押収不能なC2に対する現実的な防御になる。

出典: Unit 42 — The Permanent Threat: Analyzing Aeternum’s Blockchain-Based C2 Operations and Communications（2026年8月10日）