Los ciberdelincuentes han comenzado a usar Ethereum contratos inteligentes para ocultar comandos de malware, creando nuevos desafíos para los equipos de seguridad a medida que los atacantes explotan la tecnología blockchain para evadir los sistemas de detección. La firma de cumplimiento de activos digitales ReversingLabs descubrió la técnica tras analizar dos paquetes maliciosos subidos al repositorio del Node Package Manager en julio.
El método permite a los hackers mezclar sus actividades con el tráfico legítimo de blockchain, haciendo que las operaciones maliciosas sean significativamente más difíciles de identificar y bloquear.
Qué Saber:
- Dos paquetes de NPM llamados "colortoolsv2" y "mimelib2" utilizaron contratos inteligentes de Ethereum para recuperar direcciones de servidores maliciosos antes de instalar malware de segunda etapa
- Investigadores de seguridad documentaron 23 campañas maliciosas relacionadas con criptomonedas en repositorios de código abierto solo en 2024
- El grupo Lazarus, vinculado a Corea del Norte, ha utilizado previamente métodos similares de distribución de malware basados en blockchain
Nuevo Método De Distribución Expone Infraestructura Blockchain
Los paquetes identificados por ReversingLabs parecían legítimos pero contenían funciones ocultas diseñadas para obtener instrucciones de contratos inteligentes de Ethereum. En lugar de hospedar enlaces maliciosos directamente, el software actuaba como descargadores que recuperaban direcciones para servidores de comando y control.
Lucija Valentić, investigadora de ReversingLabs, dijo que la instalación de URL maliciosas en contratos de Ethereum representaba un enfoque sin precedentes. "Es algo que no habíamos visto antes", afirmó Valentić, describiendo el desarrollo como una rápida evolución en la forma en que los atacantes eluden los sistemas de escaneo de seguridad.
La técnica se aprovecha del hecho de que el tráfico de blockchain a menudo parece legítimo para el software de seguridad. Los métodos tradicionales de detección luchan por distinguir entre operaciones normales de contratos inteligentes y aquellas utilizadas para propósitos maliciosos.
Bots de Trading Falsos Como Vector de Ataque Principal
Los paquetes maliciosos formaban parte de una campaña de engaño más amplia, llevada a cabo a través de repositorios de GitHub. Los atacantes construyeron proyectos falsos de bots de trading de criptomonedas completos con historias de commits fabricadas, múltiples cuentas de mantenedores falsas y documentación profesional diseñada para atraer a desarrolladores.
Estos repositorios fueron creados para parecer confiables mientras servían como mecanismos de entrega para instalaciones de malware. La sofisticación de los proyectos falsos demuestra las extensiones a las que los ciberdelincuentes llegarán para establecer credibilidad antes de lanzar ataques.
Los analistas de seguridad han identificado esta combinación de almacenamiento de comandos basados en blockchain e ingeniería social como una escalada significativa en la complejidad de los ataques. El enfoque hace que la detección sea sustancialmente más difícil para los equipos de ciberseguridad que ahora deben monitorear tanto los vectores de ataque tradicionales como las comunicaciones basadas en blockchain.
La campaña que apunta al Node Package Manager representa solo un aspecto de una tendencia más amplia que afecta a las comunidades de desarrollo de código abierto. Los atacantes apuntan específicamente a estos entornos porque los desarrolladores a menudo instalan paquetes sin revisiones de seguridad exhaustivas.
Ataques Anteriores Basados en Blockchain Apuntan a Proyectos de Criptomonedas
Ethereum no es la única red de blockchain que se está explotando para fines de distribución de malware. A principios de este año, el grupo Lazarus, vinculado a Corea del Norte, desplegó malware que también utilizaba contratos de Ethereum, aunque su implementación específica difería del reciente ataque de NPM.
En abril, los atacantes crearon un repositorio fraudulento de GitHub que imitaba un proyecto de bot de trading de Solana.
El falso repositorio se usó para distribuir malware diseñado específicamente para robar credenciales de carteras de criptomonedas de las víctimas.
Otro caso documentado involucraba "Bitcoinlib", una biblioteca de Python destinada al desarrollo de trabajos con Bitcoin. Los hackers apuntaron a esta herramienta legítima de desarrollo para propósitos similares de robo de credenciales.
El patrón muestra a los ciberdelincuentes apuntando consistentemente a herramientas de desarrollo relacionadas con criptomonedas y repositorios de código abierto. Estos entornos proporcionan condiciones ideales para los ataques porque los desarrolladores con frecuencia trabajan con nuevas bibliotecas de código y herramientas no familiares.
Comprendiendo la Tecnología Blockchain y de Contratos Inteligentes
Los contratos inteligentes son programas autogestionados que se ejecutan en redes blockchain como Ethereum. Ejecutan automáticamente condiciones predeterminadas sin necesidad de intervención humana o supervisión de intermediarios tradicionales.
Estos contratos almacenan datos de manera permanente en el blockchain, lo que los hace accesibles desde cualquier parte del mundo. La naturaleza descentralizada de las redes blockchain significa que eliminar contenido malicioso se vuelve extremadamente difícil una vez que ha sido desplegado.
Los servidores de comando y control son sistemas informáticos que los ciberdelincuentes usan para comunicarse con dispositivos infectados. Al almacenar direcciones de servidores en redes blockchain, los atacantes crean canales de comunicación que son más difíciles de interrumpir o monitorear por los equipos de seguridad.
Reflexiones Finales
El descubrimiento de comandos de malware ocultos en contratos inteligentes de Ethereum marca una evolución significativa en las tácticas de los ciberdelincuentes, ya que los atacantes explotan cada vez más la tecnología blockchain para evadir los sistemas de detección. Valentić enfatizó que los ciberdelincuentes continúan buscando nuevos métodos para eludir las defensas de seguridad, con el almacenamiento de comandos basados en blockchain representando su última innovación para mantenerse por delante de las medidas de ciberseguridad.