Nordkoreanische Hacker verstecken jetzt kryptodiebstahlende Malware mit Blockchain

Nordkoreanische Hacker verwenden jetzt eine blockchain-basierte Methode namens EtherHiding, um Malware zu liefern, um ihre Krypto-Diebstahloperationen zu erleichtern. Laut Experten wurde ein nordkoreanischer Hacker entdeckt, der diese Methode verwendete, wobei Angreifer Codes wie JavaScript-Payloads in einen blockchain-basierten Smart Contract einbetten.

Durch die Methode verwandeln die Hacker die dezentrale Ledger in eine widerstandsfähige Command-and-Control (C2). Laut einem veröffentlichten Blog-Beitrag der Google Threat Intelligence Group (GTIG) ist dies das erste Mal, dass sie einen Akteur dieses Ausmaßes diese Methode verwenden beobachtet haben. Sie behauptete, dass die Verwendung von EtherHiding angesichts herkömmlicher Downgrade- und Blocklistungsmaßnahmen bequem ist. Die Threat-Intelligence-Gruppe erwähnte, dass sie den Bedrohungsakteur UNC5342 seit Februar 2025 verfolgt und EtherHiding in eine laufende Social-Engineering-Kampagne integriert hat.

Nordkoreanische Hacker wenden sich EtherHiding zu

Google erwähnte, dass es die Nutzung von EtherHiding mit einer von Palo Alto Networks als Contagious Interview verfolgten Social-Engineering-Kampagne verknüpft hat. Die Contagious Interview wurde von nordkoreanischen Akteuren durchgeführt. Laut Socket-Forschern hat die Gruppe ihre Operationen mit einem neuen Malware-Loader, XORIndex, erweitert. Der Loader hat Tausende von Downloads angesammelt, wobei die Zielgruppe Arbeitssuchende und Personen sind, von denen angenommen wird, dass sie digitale Assets oder sensible Zugangsdaten besitzen.

In dieser Kampagne verwenden die nordkoreanischen Hacker die JADESNOW-Malware, um eine JavaScript-Variante von INVISIBLEFERRET zu verbreiten, die bereits für zahlreiche Krypto-Diebstähle verwendet wurde. Die Kampagne zielt auf Entwickler in der Krypto- und Technologiebranche ab, stiehlt sensible Daten, digitale Assets und erlangt Zugang zu Unternehmensnetzwerken. Sie konzentriert sich auch auf eine Social-Engineering-Taktik, die legitime Rekrutierungsprozesse mit falschen Recruitern und erfundenen Unternehmen nachahmt.

Falsche Recruiter werden verwendet, um Kandidaten zu Plattformen wie Telegram oder Discord zu locken. Danach wird die Malware über gefälschte Codetests oder Software-Downloads, die als technische Bewertungen oder Interview-Behebungen getarnt sind, auf ihre Systeme und Geräte geliefert. Die Kampagne verwendet einen mehrstufigen Malware-Infektionsprozess, der normalerweise Malware wie JADESNOW, INVISIBLEFERRET und BEAVERTAIL umfasst, um die Geräte des Opfers zu kompromittieren. Die Malware betrifft Windows-, Linux- und macOS-Systeme.

Forscher erläutern die Nachteile von EtherHiding

EtherHiding bietet Angreifern einen besseren Vorteil, wobei GTIG feststellt, dass es eine besonders schwierige Bedrohung zur Abwehr darstellt. Ein Kernbestandteil von EtherHiding, der besorgniserregend ist, ist, dass es dezentraler Natur ist. Das bedeutet, dass es auf einer berechtigungsfreien und dezentralen Blockchain gespeichert ist, was es für Strafverfolgungsbehörden oder Cybersicherheitsfirmen schwierig macht, es herunterzufahren, da es keinen zentralen Server gibt. Die Identität des Angreifers ist aufgrund der pseudonymen Natur von Blockchain-Transaktionen ebenfalls schwer zu verfolgen.

Es ist auch schwer, schädlichen Code in Smart Contracts, die auf der Blockchain bereitgestellt wurden, zu entfernen, wenn man nicht der Eigentümer des Vertrags ist. Der Angreifer, der den Smart Contract kontrolliert, in diesem Fall die nordkoreanischen Hacker, kann auch wählen, den schädlichen Payload jederzeit zu aktualisieren. Während Sicherheitsforscher versuchen könnten, die Gemeinschaft über einen schädlichen Vertrag zu warnen, indem sie ihn markieren, stoppt dies die Hacker nicht, ihre schädlichen Aktivitäten mit dem Smart Contract fortzusetzen.

Darüber hinaus können Angreifer ihren schädlichen Payload mit schreibgeschützten Aufrufen abrufen, die keine sichtbare Transaktionshistorie auf der Blockchain hinterlassen, was es Forschern erschwert, ihre Aktivitäten auf der Blockchain zu verfolgen. Laut dem Bedrohungsforschungsbericht stellt EtherHiding einen „Übergang zu Next-Generation-Bulletproof-Hosting“ dar, bei dem die auffälligsten Merkmale der Blockchain-Technologie von Betrügern für schädliche Zwecke genutzt werden.