Botnet blockchain Polygon : comment Aeternum C2 contourne les démantèlements

Introduction : un botnet qui s’appuie sur la blockchain Polygon

En 2026, les cybercriminels ont franchi une nouvelle étape en intégrant la technologie blockchain directement dans leur infrastructure de command-and-control (C2). Le botnet Aeternum C2, découvert par Qrator Labs, stocke des commandes chiffrées sur la blockchain publique Polygon, rendant ainsi chaque instruction quasi-irréversible et quasiment gratuite. Selon le rapport de Qrator Labs (2026), 87 % des transactions de commande coûtent moins de 0,01 $ MATIC, soit moins d’un centime pour chaque dispositif infecté. Cette approche remet en cause les méthodes classiques de démantèlement, qui reposent sur l’identification et la suppression de serveurs ou de domaines. Dans cet article, nous décortiquons le fonctionnement d’Aeternum C2, le comparons à d’autres botnets blockchain, et proposons des mesures concrètes pour protéger les organisations françaises.

Le modèle de command-and-control blockchain : principes et enjeux

Fonctionnement général des C2 sur blockchain

Un C2 basé sur blockchain transforme chaque transaction en un canal de diffusion de commandes. Le malware interroge un point d’accès RPC (Remote Procedure Call) public afin de récupérer le payload chiffré stocké dans un contrat intelligent. Cette méthode élimine le besoin d’une infrastructure serveur permanente : la blockchain, par nature distribuée, assure la disponibilité tant que le réseau reste opérationnel.

Avantages en termes de résilience

• Permanence : les transactions restent inscrites de façon indélébile, sauf si le propriétaire du portefeuille les révoque.
• Anonymat : les opérateurs n’ont besoin que d’une adresse de portefeuille, ce qui rend l’attribution très difficile.
• Coût marginal : comme le souligne Qrator Labs, « $1 de MATIC suffit pour 100 à 150 transactions de commande ».

« Une fois qu’une commande est confirmée, elle ne peut être modifiée ou supprimée que par le détenteur du portefeuille », explique le rapport de Qrator Labs (2026).

Aeternum C2 : architecture détaillée et innovations

Loader natif C++ et interaction avec Polygon

Aeternum C2 se présente sous forme de chargeur C++ natif, disponible en versions x32 et x64. Après infection, le loader établit une connexion RPC vers un nœud public Polygon (ex. https://polygon-rpc.com). Il interroge ensuite le contrat intelligent spécifié, récupère la donnée chiffrée, la déchiffre à l’aide d’une clé dérivée du portefeuille et exécute la commande. Le code suivant illustre un appel RPC minimal :

// Exemple simplifié d’appel RPC Polygon en C++
#include <iostream>
#include <curl/curl.h>

std::string rpc_url = "https://polygon-rpc.com";
std::string payload = "{\"jsonrpc\":\"2.0\",\"method\":\"eth_call\",\"params\":[{\"to\":\"0xContractAddress\",\"data\":\"0xFunctionSignature\"},\"latest\"],\"id\":1}";
// Envoi de la requête via libcurl (gestion d’erreurs omise pour la concision)

Gestion des smart contracts et chiffrement des commandes

Les opérateurs d’Aeternum utilisent une interface web basée sur Next.js pour créer et déployer des contrats intelligents. Chaque contrat possède une fonction getCommand() qui renvoie une chaîne hexadécimale contenant la commande chiffrée. Le chiffrement repose sur AES-256-GCM, la clé étant dérivée d’une phrase secrète stockée dans le portefeuille du client. Ainsi, même si un analyste intercepte le trafic RPC, il ne pourra pas décoder la commande sans la clé.

Anti-analyse et persistance

Le malware intègre de multiples mécanismes anti-analyse :

• Détection d’environnements virtualisés (VMware, VirtualBox, Hyper-V).
• Vérification de la présence de processus d’antivirus populaires.
• Utilisation d’une obfuscation du code natif via le compilateur clang avec des options de protection.
• Fonction de Kleenscan permettant aux clients de vérifier que le binaire ne déclenche pas d’alertes sur les principaux AV.

Ces caractéristiques prolongent la durée de vie des infections, rendant les efforts de nettoyage plus coûteux pour les équipes de réponse.

Une faille critique récemment découverte dans GitHub Codespaces, nommée Roguepilot, illustre les risques liés aux environnements de développement en ligne.

« L’opérateur n’a besoin d’aucune infrastructure supplémentaire : un portefeuille crypto et une copie locale du panneau suffisent », indique le rapport de Qrator Labs (2026).

Comparaison avec d’autres botnets blockchain

Selon le Centre français d’analyse et de lutte contre les cybermenaces (2025), les botnets s’appuyant sur la blockchain ont connu une hausse de 42 % entre 2023 et 2025, signe d’une adoption croissante de cette technique.

Risques pour les organisations françaises et réponses de l’ANSSI

Impact sur la conformité RGPD

L’utilisation de la blockchain pour diffuser des commandes malveillantes complique la traçabilité des traitements de données. En effet, chaque transaction est immuable, ce qui rend difficile l’identification d’un éventuel traitement illicite de données personnelles. L’ANSSI rappelle que les responsables de traitement doivent documenter toute interaction avec des services externes, y compris les réseaux blockchain, afin de respecter les exigences du RGPD (article 30).

Recommandations pratiques

1. Surveiller les requêtes RPC sortantes : déployer des capteurs réseau capables d’identifier les appels HTTP/HTTPS vers les nœuds publics Polygon.
2. Bloquer les listes noires de points d’accès : ajouter les endpoints polygon-rpc.com, rpc-mainnet.maticvigil.com à la liste de blocage des pare-feu.
3. Analyser les processus suspects : rechercher les exécutables C++ non signés qui établissent des connexions régulières vers des ports 443 sans justification métier.
4. Appliquer les normes ISO 27001 : intégrer la gestion des risques liés aux services blockchain dans le périmètre de l’ISMS (Information Security Management System).
5. Former le personnel : sensibiliser les équipes SOC à la spécificité des C2 blockchain, notamment la persistance des transactions.

Mise en œuvre d’une défense proactive - étapes actionnables

1. Inventorier les flux réseau : utilisez un système de détection d’anomalies (IDS) pour cartographier les destinations externes.
2. Déployer un sandboxing avancé : isolez les exécutables inconnus dans des environnements contrôlés afin d’observer les appels RPC.
3. Intégrer des listes de réputation blockchain : consommez les API de services comme Chainalysis pour identifier les adresses wallet associées à des activités malveillantes.

Le dispositif de formation POEI en cybersécurité offre une voie structurée pour développer les compétences nécessaires à la défense contre ces menaces. 4. Mettre en place une politique de journalisation renforcée : consignez chaque appel RPC avec horodatage, adresse IP source et destination. 5. Effectuer des tests de pénétration spécifiques : simulez une infection Aeternum C2 afin de valider l’efficacité des contre-mesures.

Conclusion - quelles perspectives pour la cybersécurité en 2026 ?

Le botnet Aeternum C2 démontre que la blockchain, longtemps perçue comme un vecteur de sécurité, peut être détournée pour créer des infrastructures C2 quasi-indestructibles. Les organisations doivent repenser leurs stratégies de défense en incluant la surveillance des flux blockchain, en renforçant la conformité aux standards tels que ANSSI, ISO 27001 et RGPD, et en adoptant une posture proactive basée sur la détection précoce. En 2026, la capacité à identifier et bloquer les transactions malveillantes sur des réseaux publics sera un facteur clé de résilience face à des menaces de plus en plus sophistiquées.