Los hackers ahora ocultan malware dentro de contratos inteligentes de Ethereum

La investigación de ReversingLabs descubrió una campaña de malware que utilizó contratos inteligentes de Ethereum para ocultar URLS de software malicioso. Los hallazgos revelaron que los hackers utilizaron los paquetes npm colortoolv2 y mimelib2, que actuaban como descargadores. 

Una vez instalados los paquetes npm, estos obtienen malware de segunda etapa desde una infraestructura de comando y control (C2) consultando contratos inteligentes de Ethereum.

La investigadora de ReversingLabs, Lucija Valentic, describió el ataque como creativo, señalando que no se había visto antes. El enfoque de los atacantes evitó los escaneos tradicionales que normalmente detectan URLS sospechosas dentro de los scripts de los paquetes. 

Los actores de amenazas ocultan malware a plena vista 

Contratos inteligentes de Ethereum son programas públicos que automatizan funciones de blockchain. En este caso, permitieron a los hackers ocultar código malicioso a plena vista. Las cargas útiles maliciosas estaban ocultas con un simple archivo index.js que, al ejecutarse, se comunicaba con la blockchain para recuperar los detalles del servidor de comando y control (C2).

Según De ReversingLabs investigación, los paquetes descargadores no son estándar en npm, y el alojamiento en blockchain marcó una nueva etapa en las tácticas de evasión.

El descubrimiento llevó a los investigadores a escanear ampliamente en GitHub, donde descubrieron que los paquetes npm estaban incrustados debajo de repositorios que se hacían pasar por bots de criptomonedas. Los bots se disfrazaban como Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 y muchos más. Los repositorios se disfrazaban como herramientas profesionales, atrayendo múltiples commits, contenedores y estrellas, pero en realidad, eran solo fabricados. 

Según la investigación, las cuentas que realizaron commits o bifurcaron los repositorios se crearon en julio y no mostraron ninguna actividad de codificación. La mayoría de las cuentas tenían un archivo README incrustado en sus repositorios. Se descubrió que los recuentos de commits se generaban artificialmente mediante un proceso automatizado para inflar la actividad de codificación. Por ejemplo, la mayoría de los commits registrados eran solo cambios en archivos de licencia en lugar de actualizaciones significativas.  

Pasttimerles, un nombre de usuario utilizado por uno de los mantenedores, fue notablemente utilizado para compartir muchos commits. Slunfuedrac, otro nombre de usuario, estaba vinculado a la inclusión de los paquetes npm maliciosos en los archivos del proyecto.

Una vez detectados, los hackers siguieron cambiando las dependencias a diferentes cuentas. Después de que colortoosv2 fuera detectado, cambiaron a mimelibv2 y posteriormente hacia mw3ha31q y cnaovalles, lo que contribuyó respectivamente a la inflación de commits y a la colocación de dependencias maliciosas. 

La investigación de ReversingLabs vinculó la actividad a la Red Stargazer’s Ghost, un sistema coordinado de cuentas que aumenta la credibilidad de los repositorios maliciosos. El ataque se dirigió a desarrolladores que buscan herramientas de criptomonedas de código abierto y podrían confundir las estadísticas infladas de GitHub con cuentas legítimas.

La incrustación de malware en la blockchain de Ethereum marca una nueva fase en la detección de amenazas

El ataque descubierto sigue a una serie de ataques dirigidos al ecosistema blockchain. En marzo de 2025, ResearchLabs descubrió otros paquetes npm maliciosos que parcheaban paquetes legítimos de Ethers con código que permitía shells inversos. Se descubrieron los paquetes npm Ether-provider2 y ethers-providerZ que contenían código malicioso que permitía shells inversos. 

Varios casos anteriores, incluida la compromiso del paquete ultralytics de PyPI en diciembre de 2024, también se revelaron por entregar malware de minería de criptomonedas. Otros incidentes incluyeron plataformas de confianza como Google Drive y GitHub Gist siendo utilizadas para ocultar código malicioso a través de servidores C2.

Según la investigación, se registraron 23 incidentes de cadena de suministro relacionados con cripto en 2024, que iban desde malware hasta brechas de credenciales. 

El último descubrimiento emplea viejos trucos pero introduce el enfoque de contratos de Ethereum como un nuevo mecanismo. Valentic, la investigadora de Research Labs, dijo que el descubrimiento destaca la rápida evolución de las estrategias de evasión de detección por parte de actores maliciosos que acosan proyectos de código abierto y desarrolladores. 

La investigación destacó la importancia de verificar la legitimidad de las bibliotecas de código abierto antes de su adopción. Valentic advirtió que los desarrolladores deben evaluar cada biblioteca que están considerando antes de incluirla en su entorno de desarrollo. Añadió que estaba claro que indicadores como estrellas, commits y el número de mantenedores pueden ser fácilmente manipulados.    

Ambos paquetes npm identificados, colortoolsv2 y mimelib2, han sido eliminados desde entonces de npm y las cuentas asociadas GitHub cerradas, pero la actividad ha arrojado luz sobre cómo está evolucionando el ecosistema de amenazas de software.