Un blockchain dead drop è una tecnica malware in cui un programma infetto legge la configurazione, le destinazioni del passo successivo o altri dati puntatore da una blockchain pubblica. La blockchain agisce come una bacheca condivisa: chiunque può pubblicare dati e il malware li recupera in seguito per sapere dove connettersi o cosa fare dopo.
Questo è importante perché rende l'infrastruttura dell'attaccante più difficile da interrompere rispetto a un singolo server o dominio hardcoded. I difensori possono bloccare IP noti, mettere offline i domini o fare sinkhole degli host C2 fissi, ma una blockchain pubblica è distribuita e resistente alle manomissioni. Negli attacchi reali, questo pattern viene spesso usato come livello resolver per il command-and-control, riducendo la necessità di indicatori di rete statici. I team di sicurezza cercano traffico RPC blockchain insolito da endpoint che normalmente non lo usano, comportamenti di lookup rapidi dopo l'esecuzione e loader che recuperano la configurazione in modo dinamico. Il monitoraggio e il blocco dell'accesso sospetto alla blockchain possono aiutare a spezzare la catena prima che il malware raggiunga la sua fase successiva.