Drei vertrauenswürdige npm-Bibliotheken lieferten manipulierte Versionen aus, die über Ethereum mit dem Server kommunizieren
- Sonatype hat sechs npm-Pakete entdeckt, die ihre Command-and-Control-Adressen aus der Ethereum Wallet eines Angreifers auslesen.
- Die Technik, genannt NullReceiver, dekodiert zwei IPv4-Adressen aus dem leeren Empfängerfeld einer Übertragung.
- NullReceiver stellt eine Verbesserung gegenüber EtherHiding dar, das laut Google Threat Intelligence einem Akteur mit Verbindungen zu Nordkorea zuzuordnen ist.
Sonatype Research Labs veröffentlichte Erkenntnisse darüber, dass sechs npm-Pakete ihre Befehlsserver-Speicherorte aus der Ethereum Wallet eines Angreifers beziehen.
Drei der sechs npm-Pakete waren bekannte Bibliotheken, die Angreifer unbemerkt übernommen haben. Jeder, der die betroffenen Versionen installiert hat, sollte diese entfernen und nach weiterem Code suchen, der möglicherweise ausgeführt wurde.
Angreifer haben drei echte Bibliotheken gekapert
Der Sonatype-Forscher Adam Reynolds sagt, die sechs Pakete ließen sich in zwei Kategorien einteilen.
Offenbar wurden die Verlagskonten echter Bibliotheken manipuliert, damit eine verfälschte Version ausgeliefert werden konnte.
Dies sind @kolbo/[email protected], [email protected], und [email protected]. Sie haben den Loader an das Ende einer bereits im Paket enthaltenen Datei angehängt und so die ursprüngliche Funktionalität erhalten.
Bei den anderen drei handelte es sich um speziell zusammengestellte Pakete, die die Schadsoftware enthielten. Es handelt sich um [email protected], [email protected]und [email protected].
Das erste Paket enthält Konfigurationshilfsmittel, das zweite ein funktionierendes PostCSS-Plugin und das letzte Paket bettet den Loader in eine minimierte Hilfsdatei ein.
Sonatype bestätigte , dass alle sechs Codeblöcke dieselbe Nutzlast und dieselbe Ethereum Wallet verwenden.
Wenn das Opfer den Code ausführt, fragt der Loader Ethereum nach der letzten ausgehenden Transaktion der Wallet ab undtracBytes aus dem Empfängerfeld dieser Transaktion.
Diese Bytes werden in zwei IPv4-Adressen übersetzt. Sie dienen der Malware als primärer und sekundärer Command-and-Control-Server. Die Übertragung dient ausschließlich dazu, Anweisungen für die Verbindungsherstellung der Malware zu speichern.
Die Forscher von Sonatype gaben an, dass der Loader mehrere Ethereum RPC-Provider gleichzeitig kontaktiert und diese gegeneinander antreten lässt. Anschließend bündelt er seine JSON-RPC-Aufrufe und greift auf die Blockscout-API zurück, falls direkte Anfragen fehlschlagen.
Sobald ein Server gefunden wurde, versucht es zwei weitere Schritte an den Endpunkten `/0x/cls` und `/0x/ls`, wobei es auf einen `X-Payload-B64`-Antwortheader zurückgreift, wenn ein einfacher GET-Request nicht zum gewünschten Ergebnis führt.
Das Ergebnis wird Base64- und XOR-dekodiert und anschließend im aktuellen Node.js-Prozess über `eval()` ausgeführt oder als separater Kindprozess gestartet.
NullReceiver ist ein schlankerer EtherHiding-Typ
Dieses On-Chain-Abrufschema wurde von OpenSourceMalware in zwei mit Trojanern infizierten Tailwind CSS-Klonen, bianira-ui und fluid-type-ui, entdeckt und NullReceiver.
Die Firma bringt die Aktivität mit der nordkoreanischen Kampagne „Contagious Interview“ in Verbindung, die mit der Lazarus-Gruppe assoziiert wird. Sonatype bestätigte die Übereinstimmung der Wallet.
NullReceiver schließt eine Lücke im EtherHiding-System, einer Technik, die Google Threat Intelligence im Oktober 2025 einem mit Nordkorea verbundenen Akteur zuschrieb.
EtherHiding verbirgt das Geheimnis im Datenfeld einer Transaktion und sendet diese immer an die öffentliche Burn-Adresse von Ethereum, wodurch den Verteidigern ein fester Bezugspunkt zur Überwachung zur Verfügung steht.
NullReceiver sendet keine Daten und verwendet kein Ziel wieder. Im analysierten Beispiel von OpenSourceMalware wurden die Empfängerbytes zu 166.88.134.62 dekodiert, wobei die nachfolgenden Bytes die Zeichenkette „helloipbot!!“ als Fingerabdruck des Angreifers bildeten.
Im September 2025 Cryptopolitan berichtete , dass ReversingLabs die npm-Downloader colortoolv2 und mimelib2 entdeckt hatte, welche Malware-URLs in Ethereum Smart Contractstracund mit Stargazers Ghost Network in Verbindung standen.
Sonatype teilte mit, dass die damit verbundenen npm-Aktivitäten noch untersucht werden. Betroffene Entwickler sollten die markierten npm-Pakete entfernen und auf Anzeichen für die Ausführung einer zweiten Angriffsphase achten.
Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan und berichtet über Technologie, KI, Robotik, Kryptowährungen, Betrug und Hackerangriffe. Sie ist seit 2017 in der Krypto-Branche tätig und arbeitete zuvor bei Forward Protocol, AmaZix und Cryptosomniac. Randa hat einen Abschluss in Elektrotechnik undtronvon der Universität Bradford.
