What We Know
Security researchers have identified an active botnet called Aeternum C2 that's doing something we haven't seen much of before: storing encrypted command-and-control instructions directly on the Polygon blockchain. According to The Hacker News, this discovery marks a significant shift in how threat actors are building infrastructure that's deliberately resistant to law enforcement and security company takedowns.
The botnet is operational right now. Not theoretical, not a proof-of-concept—it's actively compromising systems and maintaining persistence through an architecture that traditional mitigation won't easily dismantle.
Frankly, this is the kind of innovation in the malware space that keeps threat intelligence teams awake at night.
How It Works
Here's the technical breakdown: Instead of hosting command-and-control servers on traditional infrastructure—which means registrars, hosting providers, IP addresses that can be blocked or seized—Aeternum stores its encrypted instructions on Polygon, a Layer 2 Ethereum blockchain network.
Why does this matter?
Because blockchain transactions are immutable, distributed, and decentralized. Once a command is posted, it's there. Permanently. Across thousands of nodes. You can't just request a takedown. You can't seize a server. You can't pull DNS records. The attacker posts encrypted payloads, infected systems query the blockchain for updates, decrypt them locally, and execute. It's elegant. It's resilient. And it's a problem.
The encrypted nature means detection is harder too. Security teams scanning traffic see blockchain queries—which happen all the time from legitimate sources—rather than obvious malicious C2 beaconing patterns.
Why It Matters
This isn't just a technical curiosity. This is a demonstrated proof that the line between legitimate blockchain infrastructure and malicious command infrastructure has become dangerously blurry.
Traditional incident response playbooks assume you can disrupt a botnet by taking down its C2 infrastructure. Aeternum breaks that assumption.
And there's a second problem hiding in here: blockchain analysis is expensive, slow, and requires specialized expertise. Most security operations centers aren't set up to track malicious activity across distributed ledgers. When attackers start using public, immutable networks as their operational backbone, detection and response become orders of magnitude harder. Your SOC's standard playbooks? Largely useless.
This is particularly nasty because Polygon is a legitimate, widely-used network with billions in transaction volume. Filtering out actual malicious activity becomes a needle-in-a-haystack problem.
Next Steps
If you're running a security program, here's what you should do immediately. First, expand network monitoring to include blockchain network queries from internal systems—particularly any outbound connections to Polygon RPC endpoints or public nodes. This isn't standard practice yet, but it needs to be.
Second, work with your threat intelligence provider to get indicators of compromise related to Aeternum C2. The Hacker News article will likely contain hashes, wallet addresses, or other forensic markers that your security team can use for retrospective hunting.
Third, patch your systems aggressively. Aeternum, like any botnet, depends on vulnerable hosts to establish initial compromise. You can't block blockchain infrastructure, but you can make sure there's nothing for it to infect on your network in the first place.
And finally, start thinking now about how your incident response plan handles decentralized C2 infrastructure. Because this isn't going to be the last botnet to do this.
Що нам відомо
Дослідники безпеки виявили активний botnet під назвою Aeternum C2, який робить щось, що ми раніше не бачили: зберігає зашифровані інструкції управління та контролю прямо на блокчейні Polygon. Згідно з The Hacker News, це відкриття позначає значний зсув у тому, як учасники загроз будують інфраструктуру, яка навмисне стійка до розпоряджень правоохоронних органів та компаній безпеки.
Botnet функціонує прямо зараз. Не теоретично, не як proof-of-concept — він активно компрометує системи та підтримує персистентність через архітектуру, яку традиційні методи пом'якшення не легко розбирають.
Чесно кажучи, це та інновація в просторі шкідливого ПО, яка не дає спокою командам threat intelligence.
Як це працює
Ось технічний розбір: замість того, щоб розміщувати серверів управління та контролю на традиційній інфраструктурі — що означає реєстрари, хостинг-провайдери, IP-адреси, які можна заблокувати або конфіскувати — Aeternum зберігає свої зашифровані інструкції на Polygon, мережі Layer 2 Ethereum blockchain.
Чому це важливо?
Тому що транзакції блокчейну незмінні, розподілені та децентралізовані. Як тільки команда розміщена, вона там. Назавжди. На тисячах вузлів. Ви не можете просто подати запит на розпорядження. Ви не можете конфіскувати сервер. Ви не можете вилучити записи DNS. Злодій розміщує зашифровані payload'и, заражені системи запитують блокчейн для оновлень, розшифровують їх локально та виконують. Це елегантно. Це стійко. І це проблема.
Зашифрована природа також ускладнює виявлення. Команди безпеки, які сканують трафік, бачать запити до блокчейну — які відбуваються весь час від легітимних джерел — а не очевидні паттерни шкідливого C2 beaconing.
Чому це важливо
Це не просто технічна цікавість. Це продемонстрований доказ того, що межа між легітимною інфраструктурою блокчейну та шкідливою інфраструктурою управління стала небезпечно розпливчастою.
Традиційні playbook'и incident response припускають, що ви можете порушити роботу botnet'у, вимкнувши його C2 інфраструктуру. Aeternum порушує це припущення.
І є друга проблема, схована тут: аналіз блокчейну дорогий, повільний і вимагає спеціалізованих знань. Більшість центрів операцій безпеки не налаштовані на відстеження шкідливої діяльності через розподілені реєстри. Коли злодії починають використовувати публічні, незмінні мережі як свою операційну основу, виявлення та реагування стають на порядки складнішими. Стандартні playbook'и вашого SOC? Значною мірою марні.
Це особливо неприємно, тому що Polygon — це легітимна, широко використовувана мережа з мільярдами в обсязі транзакцій. Фільтрування фактично шкідливої діяльності стає проблемою пошуку голки в стозі сіна.
Наступні кроки
Якщо ви керуєте програмою безпеки, ось що вам слід зробити негайно. По-перше, розширте моніторинг мережі, щоб включити запити до блокчейну від внутрішніх систем — особливо будь-які вихідні з'єднання з Polygon RPC endpoints або публічними вузлами. Це ще не стандартна практика, але це має бути.
По-друге, працюйте зі своїм постачальником threat intelligence, щоб отримати індикатори компрометації, пов'язані з Aeternum C2. Стаття The Hacker News, ймовірно, матиме хеші, адреси гаманців або інші судово-медичні маркери, які ваша команда безпеки може використовувати для ретроспективного мисливства.
По-третє, агресивно патчуйте свої системи. Aeternum, як будь-який botnet, залежить від вразливих хостів для встановлення первинної компрометації. Ви не можете заблокувати інфраструктуру блокчейну, але ви можете переконатися, що на вашій мережі немає нічого для інфекції.
І нарешті, вже зараз почніть думати про те, як ваш план реагування на інциденти обробляє децентралізовану C2 інфраструктуру. Тому що це не буде останній botnet, який це робитиме.