الهاكرز يخفون الآن برمجيات خبيثة داخل عقود ذكية على Ethereum

كشفت أبحاث ReversingLabs عن حملة برمجيات خبيثة استخدمت العقود الذكية على Ethereum لإخفاء روابط البرمجيات الخبيثة. كشفت النتائج أن الهاكرز استخدموا حزم npm colortoolv2 وmimelib2، والتي عملت كمحملات. 

بمجرد تثبيت حزم npm، تقوم بجلب برمجيات خبيثة من المرحلة الثانية من بنية القيادة والتحكم (C2) من خلال الاستعلام عن العقود الذكية على Ethereum.

وصفت الباحثة في ReversingLabs، لوتسيا فالينتيك، الهجوم بأنه مبدع، مشيرة إلى أنه لم يُرَ من قبل. تجاوزت نهج المهاجمين الفحوصات التقليدية التي عادة ما تكتشف الروابط المشبوهة داخل نصوص الحزم. 

تخفي الجهات الفاعلة للتهديد البرمجيات الخبيثة في العيان 

العقود الذكية على Ethereum هي برامج عامة تقوم بأتمتة وظائف البلوكشين. في هذه الحالة، مكنت الهاكرز من إخفاء الكود الخبيث في العيان. تم إخفاء الحمولات الخبيثة بملف index.js بسيط، والذي، عند تنفيذه، اتصل بالبلوكشين لاسترداد تفاصيل خادم القيادة والتحكم (C2).

وفقاً لـ أبحاث ReversingLabs بحث، حزم التحميل ليست قياسية على npm، ووضع الاستضافة على البلوكشين يمثل مرحلة جديدة في تكتيكات التهرب.

أدى الاكتشاف إلى قيام الباحثين بفحص نطاق واسع على GitHub، حيث اكتشفوا أن حزم npm كانت مدمجة تحت مستودعات تتظاهر بأنها روبوتات للعملات المشفرة. تم تمويه الروبوتات على أنها Solana-trading-bot-v2 وHyperliquid-trading-bot-v2، والعديد غيرها. تم تمويه المستودعات كأدوات احترافية، مما جذب العديد من الالتزامات، الحاويات، والنجوم، ولكن في الواقع، كانت مجرد مزيفة. 

وفقاً للبحث، تم إنشاء الحسابات التي نفذت الالتزامات أو نسخت المستودعات في يوليو ولم تظهر أي نشاط برمجي. كان لدى معظم الحسابات ملف README مدمج في مستودعاتهم. تم الكشف عن أن عدد الالتزامات تم إنشاؤه اصطناعياً عبر عملية آلية لتضخيم النشاط البرمجي. على سبيل المثال، كانت معظم الالتزامات المسجلة مجرد تغييرات في ملفات الترخيص بدلاً من تحديثات ذات معنى.  

كان اسم المستخدم Pasttimerles، الذي استخدمه أحد المشرفين، يُستخدم بشكل ملحوظ لمشاركة العديد من الالتزامات. كان اسم المستخدم الآخر، Slunfuedrac، مرتبطاً بإدراج حزم npm الخبيثة في ملفات المشروع.

بمجرد اكتشافها، استمر الهاكرز في تبديل التبعيات إلى حسابات مختلفة. بعد اكتشاف colortoosv2، انتقلوا إلى mimelibv2 ثم نحو mw3ha31q وcnaovalles، والتي ساهمت على التوالي في تضخم الالتزامات ووضع التبعيات الخبيثة. 

ربطت أبحاث ReversingLabs النشاط بشبكة Stargazer’s Ghost، وهي نظام منسق من الحسابات يعزز مصداقية المستودعات الخبيثة. استهدف الهجوم المطورين الذين يبحثون عن أدوات العملات المشفرة مفتوحة المصدر وقد يخلطون بين إحصائيات GitHub المبالغ فيها والحسابات الشرعية.

إدراج البرمجيات الخبيثة في بلوكشين Ethereum يحدد مرحلة جديدة في كشف التهديدات

يتبع الهجوم المكتشف سلسلة من الهجمات التي استهدفت نظام البلوكشين البيئي. في مارس 2025، كشفت ResearchLabs عن حزم npm خبيثة أخرى قامت بتعديل حزم Ethers الشرعية بكود مكن من الأصداف العكسية. تم اكتشاف حزم npm مثل Ether-provider2 وethers-providerZ التي تحتوي على كود خبيث مكن من الأصداف العكسية. 

تم أيضاً الكشف عن حالات سابقة، بما في ذلك اختراق حزمة ultralytics على PyPI في ديسمبر 2024، لتسليم برمجيات تعدين العملات المشفرة. شملت الحوادث الأخرى منصات موثوقة مثل Google Drive وGitHub Gist المستخدمة لإخفاء الكود الخبيث عبر خوادم C2.

وفقاً للبحث، تم تسجيل 23 حادثة سلسلة إمداد متعلقة بالعملات المشفرة في عام 2024، تتراوح من البرمجيات الخبيثة إلى انتهاكات البيانات الاعتمادية. 

يعتمد الاكتشاف الأخير حيلاً قديمة لكنه يقدم نهج العقود على Ethereum كآلية جديدة. قالت فالينتيك، باحثة مختبر الأبحاث، إن الاكتشاف يسلط الضوء على التطور السريع لاستراتيجيات التهرب من الكشف من قبل الجهات الفاعلة الخبيثة التي تزعج المشاريع مفتوحة المصدر والمطورين. 

سلط البحث الضوء على أهمية التحقق من شرعية المكتبات مفتوحة المصدر قبل اعتمادها. حذرت فالينتيك من أن المطورين يجب أن يقيموا كل مكتبة يفكرون في تضمينها في بيئة التطوير الخاصة بهم. وأضافت أنه من الواضح أن المؤشرات مثل النجوم، الالتزامات، وعدد المشرفين يمكن التلاعب بها بسهولة.    

تمت إزالة كلتا حزمتي npm المحددتين، colortoolsv2 وmimelib2، منذ ذلك الحين من npm والحسابات جيت هب مغلقة، لكن النشاط ألقى الضوء على كيفية تطور نظام تهديدات البرمجيات.