TONResolver è una famiglia di malware segnalata per usare lookup sulla blockchain TON per trovare la propria infrastruttura di comando e controllo (C2). Invece di codificare in modo fisso un indirizzo server, il malware interroga dati pubblici della blockchain per ottenere una posizione attiva da contattare. Si tratta di una forma di dead-drop resolution, in cui una sorgente dati esterna funge da puntatore alla fase successiva della comunicazione.
Questo è importante perché il lookup basato su blockchain può rendere il malware più difficile da bloccare e smantellare. Gli addetti alla difesa non possono affidarsi solo a un IP o a un dominio statici, poiché l'operatore può aggiornare i dati on-chain per spostare rapidamente il C2. Nelle indagini reali, traffico in uscita insolito verso servizi legati alla blockchain da sistemi che normalmente non li utilizzano può essere un utile segnale di hunting. Se combinato con attività di phishing o eseguibili sospetti, può indicare un tentativo di risolvere un C2 nascosto anziché normale traffico aziendale.