Une nouvelle technique de cyberattaque, baptisée « HashHiding », permet à des pirates informatiques liés à la Corée du Nord de piloter leurs logiciels malveillants via le réseau Ethereum. En exploitant l'immuabilité de la blockchain, ces acteurs parviennent à maintenir leurs infrastructures de commande hors de portée des autorités et des experts en sécurité.
Le mécanisme du HashHiding sur Ethereum
La méthode découverte par les chercheurs de Ransom-ISAC consiste à dissimuler l'adresse des serveurs de contrôle (C2) directement dans les données de transactions sur la blockchain Ethereum. Les pirates effectuent des transferts de cryptomonnaies vers des adresses fictives, dont la structure alphanumérique contient les instructions nécessaires au malware pour communiquer. Comme ces données sont inscrites sur un registre public immuable, elles ne peuvent être ni supprimées ni censurées, offrant aux attaquants une résilience inédite.
Une menace persistante pour les développeurs
La campagne, identifiée sous le nom de XCTDH, cible prioritairement les développeurs via des vecteurs classiques tels que de fausses offres d'emploi ou des paquets logiciels piégés. Une fois le code malveillant exécuté sur la machine de la victime, celui-ci interroge régulièrement la blockchain pour récupérer l'adresse active du serveur de commande. Ce dispositif permet aux pirates de voler des identifiants et de prendre le contrôle à distance des systèmes infectés, tout en conservant une capacité de mise à jour instantanée de leurs infrastructures.
L'échec des méthodes de neutralisation classiques
Traditionnellement, la neutralisation d'un malware repose sur la désactivation de son serveur de commande. Avec le HashHiding, cette approche devient obsolète : si un serveur est identifié et bloqué, les pirates se contentent d'émettre une nouvelle transaction sur la blockchain pour rediriger le logiciel malveillant vers une autre adresse. En trois mois, plus de 2 600 transactions de ce type ont été recensées, illustrant une utilisation mature et délibérée des infrastructures décentralisées.
Une stratégie multi-chaînes complexe
Le recours à Ethereum ne constitue qu'un volet d'une stratégie plus vaste. Les attaquants exploitent simultanément d'autres réseaux tels que la BNB Smart Chain, TRON et Aptos. Cette diversification impose aux équipes de défense une contrainte majeure : pour interrompre les communications du malware, il est désormais nécessaire de neutraliser simultanément l'ensemble des canaux blockchain utilisés, une tâche d'une grande complexité technique qui souligne l'évolution constante des méthodes de cybercriminalité étatique.