Cybercriminelen zijn begonnen met het gebruik van Ethereum slimme contracten om malware-commando's te verbergen, waardoor nieuwe uitdagingen ontstaan voor beveiligingsteams nu aanvallers blockchain-technologie uitbuiten om detectiesystemen te omzeilen. Het digitale asset compliance bedrijf ReversingLabs ontdekte de techniek na het analyseren van twee kwaadaardige pakketten die in juli waren geüpload naar de Node Package Manager-repository.
De methode stelt hackers in staat hun activiteiten te mengen met legitiem blockchainverkeer, waardoor kwaadaardige operaties aanzienlijk moeilijker te identificeren en te blokkeren zijn.
Wat te Weten:
- Twee NPM-pakketten genaamd "colortoolsv2" en "mimelib2" gebruikten Ethereum slimme contracten om kwaadaardige serveradressen op te halen alvorens tweede-fase malware te installeren
- Beveiligingsonderzoekers hebben alleen al in 2024 23 met crypto gerelateerde kwaadaardige campagnes in open-source repositories gedocumenteerd
- De met Noord-Korea verbonden Lazarus-groep heeft eerder soortgelijke op blockchain gebaseerde malwaredistributiemethoden gebruikt
Nieuwe Distributiemethode Exploiteert Blockchaininfrastructuur
De pakketten geïdentificeerd door ReversingLabs leken legitiem maar bevatten verborgen functies ontworpen om instructies op te halen uit Ethereum slimme contracten. In plaats van schadelijke links rechtstreeks te hosten, fungeerde de software als downloaders die adressen ophaalden voor command-and-control-servers.
Lucija Valentić, een onderzoeker bij ReversingLabs, zei dat het hosten van kwaadaardige URL's op Ethereum-contracten een ongekende aanpak vertegenwoordigde. "Dat is iets dat we nog niet eerder hebben gezien," verklaarde Valentić, die de ontwikkeling beschreef als een snelle evolutie in hoe aanvallers beveiligingsscansystemen omzeilen.
De techniek maakt gebruik van het feit dat blockchainverkeer vaak legitiem lijkt voor beveiligingssoftware. Traditionele detectiemethoden hebben moeite om onderscheid te maken tussen normale slimme contractoperaties en die gebruikt voor kwaadaardige doeleinden.
Nep-Trading Bots Dienen Als Primaire Aanvalsvector
De kwaadaardige pakketten maakten deel uit van een bredere misleidingscampagne die werd uitgevoerd via GitHub-repositories. Aanvallers construeerden nep-cryptocurrency-handelsbotprojecten compleet met gefabriceerde commitgeschiedenissen, meerdere nepbeheerdersaccounts en professionele documentatie om ontwikkelaars aan te trekken.
Deze repositories waren ontworpen om betrouwbaar te lijken terwijl ze dienden als leveringsmechanismen voor malware-installaties. De verfijning van de nep-projecten toont aan hoe ver cybercriminelen bereid zijn te gaan om geloofwaardigheid op te bouwen voordat ze aanvallen lanceren.
Beveiligingsanalisten hebben deze combinatie van op blockchain gebaseerde commandostorage en social engineering geïdentificeerd als een aanzienlijke escalatie in aanvalscomplexiteit. De aanpak maakt detectie aanzienlijk moeilijker voor cybersecurity-teams die nu zowel traditionele aanvalsvectoren als op blockchain gebaseerde communicatie moeten monitoren.
De campagne gericht op Node Package Manager vertegenwoordigt slechts één aspect van een grotere trend die open-source ontwikkelingsgemeenschappen treft. Aanvallers richten zich specifiek op deze omgevingen omdat ontwikkelaars vaak pakketten installeren zonder grondige veiligheidscontroles.
Eerdere Op Blockchain Gebaseerde Aanvallen Richten Zich Op Cryptocurrencyprojecten
Ethereum is niet het enige blockchainnetwerk dat wordt geëxploiteerd voor malwaredistributiedoeleinden. Eerder dit jaar ontplooide de met Noord-Korea verbonden Lazarus-groep malware die ook Ethereum-contracten gebruikte, hoewel hun specifieke implementatie verschilde van de recente NPM-aanval.
In april creëerden aanvallers een frauduleuze GitHub-repository die zich voordeed als een Solana-handelsbotproject.
De nep-repository werd gebruikt om malware te verspreiden die specifiek was ontworpen om cryptocurrency wallet-credentials van slachtoffers te stelen.
Een ander gedocumenteerd geval betrof "Bitcoinlib," een Python-bibliotheek bedoeld voor Bitcoin-ontwikkelingswerk. Hackers richtten zich op dit legitieme ontwikkelingshulpmiddel voor vergelijkbare credential-theft doeleinden.
Het patroon toont aan dat cybercriminelen consequent ontwikkelingshulpmiddelen gerelateerd aan cryptocurrency en open-source repositories als doelwit nemen. Deze omgevingen bieden ideale omstandigheden voor aanvallen omdat ontwikkelaars vaak werken met nieuwe, onbekende codelibraries en tools.
Begrip van Blockchain En Slimme Contracttechnologie
Slimme contracten zijn zelfuitvoerende programma's die draaien op blockchainnetwerken zoals Ethereum. Ze voeren automatisch voorafbepaalde voorwaarden uit zonder menselijke interventie of toezicht van traditionele tussenpersonen.
Deze contracten slaan permanent gegevens op de blockchain op, waardoor ze overal ter wereld toegankelijk zijn. De gedecentraliseerde aard van blockchain-netwerken betekent dat het verwijderen van schadelijke inhoud buitengewoon moeilijk wordt zodra deze is ingezet.
Command-and-control servers zijn computersystemen die cybercriminelen gebruiken om te communiceren met geïnfecteerde apparaten. Door serveradressen op blockchainnetwerken op te slaan, creëren aanvallers communicatiekanalen die moeilijker te verstoren of te monitoren zijn voor beveiligingsteams.
Afsluitende Gedachtes
De ontdekking van malware-commando's verborgen in Ethereum slimme contracten markeert een significante evolutie in cybercriminaliteitstactieken, nu aanvallers steeds meer gebruik maken van blockchaintechnologie om detectiesystemen te omzeilen. Valentić benadrukte dat cybercriminelen voortdurend op zoek zijn naar nieuwe methoden om beveiligingsverdedigingen te omzeilen, waarbij op blockchain gebaseerde commandostorage hun laatste innovatie vertegenwoordigt in het voorblijven van cybersecurity-maatregelen.