Le malware stocke son adresse C2 dans des contrats intelligents Polygon, évitant le codage direct.

REX Cyber · Veille du 2026-09-18. Faits attribués à www.guidepointsecurity.com.

Le malware stocke son adresse C2 dans des contrats intelligents Polygon, évitant le codage direct.

Ce qui s’est passé

Les auteurs de www.guidepointsecurity.com rapportent les constatations suivantes :

• Le malware stocke son adresse C2 dans des contrats intelligents Polygon, évitant le codage direct.
• Nous avons découvert 15 contrats intelligents déployés sur six vagues en sept mois.
• Il installait une extension de navigateur frauduleuse agissant comme trojan bancaire en temps réel sur 479 domaines financiers.
• Chaque mise à jour du contrat de l’attaquant est enregistrée sur un registre, ce qui nous a permis de les identifier.

Acteurs et cibles

Acteurs rapportés

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Repère temporel cité par la source : November 2025.

Contexte temporel — extrait de www.guidepointsecurity.com : TL;DR – We identified a malware campaign, active since at least November 2025, that stores its command-and-control (C2) address inside smart contracts on the Polygon blockchain instead of hardcoding it into the malware itself, a technique known as EtherHiding.

Vulnérabilités associées dans les données

CVE-2023-0386, CVE-2023-44487, CVE-2023-4911, CVE-2024-6387

Ces associations de renseignement ne prouvent pas que chaque vulnérabilité a été exploitée dans cet incident. Le déroulé ci-dessus précise les faits rapportés par la source.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Entités et contexte du rapport

• Vulnérabilité : CVE-2024-6387 ; confiance : 80/100
• Vulnérabilité : CVE-2023-44487 ; confiance : 80/100
• Vulnérabilité : CVE-2023-4911 ; confiance : 80/100
• Secteur : Finance ; alias : Financial, Financial Industry (FI), Financial Services, Financial-Services ; confiance : 100/100
• Vulnérabilité : CVE-2023-0386 ; confiance : 80/100

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

IOC et observables pour la recherche

33 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T12:59:34+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Affichage des 20 premières valeurs ; les exports contiennent la liste complète.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-18T13:15:42.624Z ; 77 objets publics et 36 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 6 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 11800 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : EtherHiding Exposed: Inside a Blockchain-powered Malware Campaign Hiding in Plain Sight
• Types de rapport : threat-report
• Labels : banking trojan, blockchain c2, clickfix, compromised websites, etherhiding, fakecaptcha, polygon smart contracts
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-18T13:15:42.624Z
• Modification déclarée par la source : 2026-09-26T17:43:22.219Z
• Import de l’objet de renseignement : 2026-09-26T17:43:21.109Z
• Mise à jour de l’objet de renseignement : 2026-09-26T17:43:22.219Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

EtherHiding Exposed: Inside a Blockchain-powered Malware Campaign Hiding in Plain Sight — www.guidepointsecurity.com.