Sáu gói npm đọc địa chỉ C2 từ ví Ethereum

Sáu gói npm đã được tìm thấy đang truy vấn một ví Ethereum do kẻ tấn công kiểm soát để tìm ra nơi tải giai đoạn tiếp theo của phần mềm độc hại, bằng cách đọc các địa chỉ điều khiển và chỉ huy (C2) từ một giao dịch blockchain.

Sonatype Research Labs đã xác định các gói này vào ngày 10 tháng 8 và công bố phân tích của mình vào cùng ngày. Cả sáu gói đều mang cùng một mã độc, và Sonatype đang theo dõi chúng dưới mã sonatype-2026-005899 và sonatype-2026-005901.

Địa chỉ ví khớp với địa chỉ đã được các nhà nghiên cứu tại OpenSourceMalware ghi lại, những người đã đặt tên cho kỹ thuật này là NullReceiver và quy kết hoạt động họ đã kiểm tra cho chiến dịch Contagious Interview có liên quan đến DPRK, liên kết với nhóm Lazarus. 

Sonatype cho biết họ đã xác nhận sự trùng khớp của ví và quan sát thấy kỹ thuật tương tự, bao gồm việc chiếm quyền điều khiển gói và truy xuất hạ tầng tiếp theo dựa trên blockchain.

Đọc thêm về các cuộc tấn công chuỗi cung ứng npm: Tin tặc Triều Tiên tung ra làn sóng tấn công gói npm mới

Giao dịch như một điểm nhận tin mật (Dead Drop)

Khi thực thi, trình tải đã truy vấn Ethereum để tìm một giao dịch gửi đi từ ví và đọc các byte từ địa chỉ người nhận của giao dịch. Các byte đó được giải mã thành hai địa chỉ IPv4, được nó coi là các điểm cuối C2 chính và phụ.

Sonatype nhận thấy cách triển khai này sâu rộng hơn hành vi đã được ghi nhận trước đó. Trình tải có thể truy vấn một số nhà cung cấp cuộc gọi thủ tục từ xa (RPC) Ethereum, thực hiện các yêu cầu chạy đua giữa chúng, thực hiện cuộc gọi hàng loạt và quay lại Blockscout API để xác định vị trí giao dịch có liên quan, tạo cho nó nhiều con đường để khôi phục hạ tầng nếu một con đường thất bại.

Sau khi được giải quyết, nó đã tải thêm hai giai đoạn tiếp theo từ máy chủ. Nếu một yêu cầu tiêu chuẩn thất bại, nó sẽ thử lại và khôi phục mã độc từ một tiêu đề phản hồi (response header) thay thế.

Kết quả đã được giải mã và có thể chạy trực tiếp bên trong tiến trình Node.js hiện tại hoặc khởi chạy dưới dạng một tiến trình con tách biệt.