Phân Tích Mã Độc GoCaracal: Lợi Dụng Smart Contract Ethereum Để Tự Động Phục Hồi Máy Chủ C2

Bảng Thuộc Tính Kỹ Thuật:

1. Kiến Trúc Phục Hồi C2 Dựa Trên Blockchain (Blockchain-Assisted C2)

Thông thường, các botnet sử dụng thuật toán sinh tên miền tự động (DGA) hoặc máy chủ DNS Fast-Flux. Khi các cơ quan thực thi pháp luật chiếm giữ tên miền hoặc nhà cung cấp dịch vụ Internet chặn IP máy chủ C2, botnet sẽ bị ngắt kết nối. GoCaracal giải quyết vấn đề này bằng cách truy vấn một hợp đồng thông minh cố định trên blockchain Ethereum.

2. Cơ Chế Giải Mã Địa Chỉ C2 Từ Storage Contract

Mã độc kết nối tới các cổng Ethereum RPC công khai như cloudflare-eth.com hoặc mainnet.infura.io thông qua cổng HTTPS chuẩn (443), khiến lưu lượng hoàn toàn giống với các giao dịch Web3 hợp pháp. GoCaracal gọi hàm getRelayNode() trên Smart Contract để lấy về một mảng byte bị mã hóa bằng thuật toán AES-256-GCM:

// Đoạn mã dịch ngược logic lấy địa chỉ C2 từ Ethereum Contract
func resolveDynamicC2(contractAddr string, rpcURL string) (string, error) {
    client, err := ethclient.Dial(rpcURL)
    if err != nil { return "", err }
    // Gọi trực tiếp dữ liệu byte từ Storage Slot của Smart Contract
    callMsg := ethereum.CallMsg{
        To:   &common.HexToAddress(contractAddr),
        Data: common.Hex2Bytes("0x6d85c070"), // getRelayNode() method selector
    }
    rawBytes, err := client.CallContract(context.Background(), callMsg, nil)
    if err != nil { return "", err }
    // Giải mã AES-GCM với hardcoded master key nội tại
    decryptedIP := decryptAESGCM(rawBytes, internalMasterKey)
    return string(decryptedIP), nil
}

3. Hành Vi Sau Khi Xâm Nhập (Post-Exploitation)

• Vô hiệu hóa EDR/Antivirus: Sử dụng kỹ thuật Process Hollowing để chèn mã độc vào các tiến trình hệ thống hợp pháp như svchost.exe (trên Windows) hoặc systemd-resolved (trên Linux).
• Rà quét mạng nội bộ (Lateral Movement): Tự động quét các cổng 22 (SSH), 2375 (Docker API không xác thực) và 6379 (Redis Unprotected Mode) để lây lan sang các máy chủ khác trong cùng mạng nội bộ.
• Khai thác tiền mã hóa ngầm & Cài Backdoor: Triển khai mã đào XMRig tối ưu tài nguyên và mở cổng shell đảo ngược bí mật.

4. Dấu Hiệu Nhận Diện & Phương Pháp Phòng Thủ

• Giám sát lưu lượng Web3 JSON-RPC: Theo dõi các máy chủ doanh nghiệp bất ngờ phát sinh lưu lượng gọi tới các cổng Ethereum RPC công khai nếu máy chủ đó không có chức năng liên quan tới Blockchain.
• Phân tích IOC Hợp Đồng Thông Minh: Đưa địa chỉ Smart Contract và các IP máy chủ C2 giải mã được vào danh sách đen của Firewall/WAF hệ thống.
• Bảo vệ máy chủ Linux & Docker: Luôn đóng các cổng Docker socket công khai và thiết lập xác thực bằng khóa SSH kèm mật khẩu phức tạp.