Les cybercriminels ont commencé à utiliser des contrats intelligents Ethereum pour cacher des commandes de logiciels malveillants, créant de nouveaux défis pour les équipes de sécurité alors que les attaquants exploitent la technologie blockchain pour échapper aux systèmes de détection. La société de conformité des actifs numériques ReversingLabs a découvert la technique après avoir analysé deux paquets malveillants téléchargés sur le dépôt Node Package Manager en juillet.
La méthode permet aux hackers de mélanger leurs activités avec le trafic légitime de la blockchain, rendant les opérations malveillantes beaucoup plus difficiles à identifier et à bloquer.
Ce qu'il faut savoir :
- Deux paquets NPM appelés "colortoolsv2" et "mimelib2" ont utilisé des contrats intelligents Ethereum pour récupérer des adresses de serveurs malveillants avant d'installer des logiciels malveillants de seconde étape
- Les chercheurs en sécurité ont documenté 23 campagnes malveillantes liées aux crypto-monnaies dans des dépôts open-source rien qu'en 2024
- Le groupe Lazarus, lié à la Corée du Nord, a déjà utilisé des méthodes similaires de distribution de logiciels malveillants basées sur la blockchain
Nouvelle méthode de distribution exploitant l'infrastructure blockchain
Les paquets identifiés par ReversingLabs semblaient légitimes mais contenaient des fonctions cachées conçues pour tirer des instructions de contrats intelligents Ethereum. Plutôt que d'héberger des liens malveillants directement, le logiciel servait de téléchargeurs qui récupéraient des adresses pour des serveurs de commande et de contrôle.
Lucija Valentić, chercheuse chez ReversingLabs, a déclaré que l'hébergement d'URL malveillantes sur des contrats Ethereum représentait une approche sans précédent. "C'est quelque chose que nous n'avons pas vu auparavant", a déclaré Valentić, décrivant le développement comme une évolution rapide dans la manière dont les attaquants contournent les systèmes de balayage de la sécurité.
La technique profite du fait que le trafic de la blockchain semble souvent légitime pour les logiciels de sécurité. Les méthodes de détection traditionnelles peinent à distinguer entre des opérations normales de contrats intelligents et celles utilisées à des fins malveillantes.
Les faux bots de trading servent de principal vecteur d'attaque
Les paquets malveillants faisaient partie d'une campagne de tromperie plus large menée à travers des dépôts GitHub. Les attaquants ont construit de faux projets de bots de trading de crypto-monnaies complets avec des histoires de commits fabriquées, de multiples comptes de mainteneurs faux et une documentation professionnelle conçue pour attirer les développeurs.
Ces dépôts ont été conçus pour paraître dignes de confiance tout en servant de mécanismes de livraison pour des installations de logiciels malveillants. Le sophistication des faux projets démontre la détermination des cybercriminels à établir une crédibilité avant de lancer des attaques.
Les analystes de la sécurité ont identifié cette combinaison de stockage de commandes basé sur la blockchain et de manipulation sociale comme une escalade significative dans la complexité des attaques. L'approche rend la détection considérablement plus difficile pour les équipes de cybersécurité qui doivent maintenant surveiller à la fois les vecteurs d'attaque traditionnels et les communications basées sur la blockchain.
La campagne ciblant le Node Package Manager ne représente qu'un aspect d'une tendance plus large affectant les communautés de développement open-source. Les attaquants ciblent spécifiquement ces environnements car les développeurs installent souvent des paquets sans passer en revue leur sécurité de manière approfondie.
Attaques précédentes basées sur la blockchain ciblant des projets de crypto-monnaie
Ethereum n'est pas le seul réseau blockchain exploité à des fins de distribution de logiciels malveillants. Plus tôt cette année, le groupe Lazarus, lié à la Corée du Nord, a déployé un logiciel malveillant qui utilisait également des contrats Ethereum, bien que leur mise en œuvre spécifique différait de l'attaque récente de NPM.
En avril, des attaquants ont créé un dépôt GitHub frauduleux qui imitait un projet de bot de trading Solana.
Le faux dépôt a été utilisé pour distribuer un logiciel malveillant spécialement conçu pour voler les informations d'identification des portefeuilles de crypto-monnaie des victimes.
Un autre cas documenté impliquait "Bitcoinlib", une bibliothèque Python destinée aux travaux de développement Bitcoin. Les hackers ont ciblé cet outil de développement légitime à des fins similaires de vol d'informations d'identification.
Le schéma montre que les cybercriminels ciblent régulièrement des outils de développement liés aux crypto-monnaies et des dépôts open-source. Ces environnements offrent des conditions idéales pour les attaques car les développeurs travaillent fréquemment avec de nouvelles bibliothèques de code et des outils inconnus.
Comprendre la technologie blockchain et des contrats intelligents
Les contrats intelligents sont des programmes auto-exécutoires qui s'exécutent sur des réseaux blockchain comme Ethereum. Ils exécutent automatiquement des conditions prédéterminées sans nécessiter d'intervention humaine ou de supervision de la part d'intermédiaires traditionnels.
Ces contrats stockent les données de manière permanente sur la blockchain, les rendant accessibles de partout dans le monde. La nature décentralisée des réseaux blockchain signifie que le retrait de contenu malveillant devient extrêmement difficile une fois qu'il a été déployé.
Les serveurs de commande et de contrôle sont des systèmes informatiques que les cybercriminels utilisent pour communiquer avec des appareils infectés. En stockant les adresses de ces serveurs sur des réseaux blockchain, les attaquants créent des canaux de communication plus difficiles à perturber ou à surveiller pour les équipes de sécurité.
Réflexions finales
La découverte de commandes malveillantes cachées dans des contrats intelligents Ethereum marque une évolution significative dans les tactiques des cybercriminels, les attaquants exploitant de plus en plus la technologie blockchain pour échapper aux systèmes de détection. Valentić a souligné que les cybercriminels cherchent continuellement de nouvelles méthodes pour contourner les défenses de sécurité, le stockage de commandes basé sur la blockchain représentant leur dernière innovation pour garder une longueur d'avance sur les mesures de cybersécurité.