عاملان تهدید (Threat Actors) به‌طور سیستماتیک زیرساخت‌های فرماندهی و کنترل (C2) خود را برای استفاده از Web3 یا معماری‌های وب غیرمتمرکز مبتنی بر بلاک‌چین ارتقا داده‌اند. این پیشرفت از به‌کارگیری نقاط انتهایی (Endpoints) استاتیک که در باینری‌های بدافزار کدگذاری شده بودند، به استفاده از قراردادهای هوشمند (Smart Contracts) تغییر یافته است. این قابلیت به مهاجمان اجازه می‌دهد تا کل زیرساخت‌های بات‌نت و شبکه‌های کرم (Worm) خود را تنها با یک تراکنش در قرارداد هوشمند به‌طور پویا به‌روزرسانی کنند.
زنجیره تأمین متن‌باز: بردار دسترسی اولیه به ابر
بر اساس گزارش‌های اخیر، نفوذ به زنجیره تأمین نرم‌افزاری به یکی از اصلی‌ترین بردارهای دسترسی اولیه برای هدف قرار دادن محیط‌های ابری سازمانی تبدیل شده است. عاملان تهدید با مسموم کردن وابستگی‌های متن‌باز (Open-source dependencies)، محدوده‌های احراز هویت سنتی را دور زده و اطلاعات حساس را از سیستم‌های توسعه‌دهندگان و خطوط لوله CI/CD استخراج می‌کنند.
کمپین‌های اخیر مانند کرم ChainDrop در مخزن npm و عملیات PolinRider نشان می‌دهند که چگونه بسته‌های متن‌باز به‌طور خاص برای استخراج کلیدهای دسترسی موقت ابری و ایجاد تداوم (Persistence) در جریان‌های کاری توسعه‌دهندگان طراحی شده‌اند. این تغییر عملیاتی به‌ویژه در گروه‌های تحت حمایت دولت کره شمالی مانند Alluring Pisces مشاهده شده است که از این تکنیک‌ها در حملات به Axios و Mastra AI استفاده کرده‌اند.
تحلیل فنی مکانیزم‌های C2 در Web3
استفاده از Web3 به مهاجمان کمک می‌کند تا از شناسایی توسط اسکنرهای امنیتی و ابزارهای تحلیل استاتیک که به‌دنبال دامنه‌ها یا IPهای سخت‌افزاری (Hard-coded) هستند، فرار کنند. این تکامل در سه فاز رخ داده است:
- فاز ۱: ذخیره‌سازی در قرارداد هوشمند (EtherHiding): در این مرحله، آدرس یک قرارداد هوشمند در بدافزار قرار می‌گرفت و بدافزار با ارسال درخواست‌های JSON-RPC (مانند eth_call)، دامنه‌های C2 را از متغیرهای وضعیت قرارداد بازیابی می‌کرد.
- فاز ۲: پنهان‌سازی داده‌ها در تراکنش‌ها (TxDataHiding): برای حذف نقطه شکست واحد، مهاجمان داده‌های رمزگذاری شده C2 را مستقیماً در فیلدهای ورودی تراکنش‌ها (Calldata) قرار دادند. بدافزار با بررسی تاریخچه تراکنش‌ها، Payload فعال را استخراج و رمزگشایی می‌کند.
- فاز ۳: تحلیل آدرس بدون داده (NullReceiver): در پیشرفته‌ترین حالت، بدافزار تراکنش‌های با مقدار صفر (Zero-value) یک کیف پول تحت کنترل مهاجم را بررسی کرده و آدرس IPv4 مربوط به C2 را به‌طور ریاضی از ساختار ۲۰ بایتی آدرس گیرنده استخراج می‌کند. در این حالت، هیچ رشته متنی یا کد قابل شناسایی برای فیلترهای امنیتی وجود ندارد.
تأثیرات عملیاتی و سرقت اعتبارنامه‌ها
بدافزارهایی مانند ChainDrop علاوه بر جستجو در فایل‌های دیسک، حافظه (Memory) فرآیندهای در حال اجرا را نیز بررسی می‌کنند تا کلیدهای IAM، توکن‌های Worker در خط لوله CI/CD و کلیدهای فدراسیون OIDC را سرقت کنند. این اعتبارنامه‌ها به مهاجم اجازه می‌دهند بدون نیاز به عبور از MFA، مستقیماً به کنسول‌های مدیریتی ابر و APIهای مدیریتی دسترسی پیدا کنند.
راهکارهای دفاعی برای تیم‌های امنیتی
برای مقابله با این تهدیدات، سازمان‌ها باید از رویکرد تطبیقی به رویکرد پیش‌گیرانه و مبتنی بر رفتار تغییر مسیر دهند:
- تحلیل رفتار شبکه: ارزیابی اینکه آیا فعالیت‌های Web3 یا بلاک‌چین در دامنه کسب‌وکار سازمان مورد انتظار است یا خیر. هرگونه ارتباط خروجی با گیت‌وی‌های بلاک‌چین در محیط‌های غیرمرتبط، باید به عنوان یک آنومالی با سطح اطمینان بالا شناسایی شود.
- مانیتورینگ پیشرفته Endpoints: پیاده‌سازی کنترل‌های امنیتی برای بازرسی عمیق فرآیندها در سیستم‌های توسعه‌دهندگان و CI/CD Runnerها، به‌ویژه زمانی که ابزارهای غیرکریپتویی درخواست‌های خروجی به سمت شبکه‌های بلاک‌چین ارسال می‌کنند.
- اتوماسیون سیاست‌های CI/CD: اعمال کنترل‌های سخت‌گیرانه بر روی سیستم‌های کنترل نسخه (Version Control) برای شناسایی تغییرات غیرمجاز در فایل‌های پیکربندی مخازن و تزریق اسکریپت‌های مخفی در Manifestهای بسته‌ها.
