Les pirates cachent désormais des logiciels malveillants dans les contrats intelligents Ethereum

Les recherches de ReversingLabs ont mis en évidence une campagne de logiciels malveillants qui utilisait des contrats intelligents Ethereum pour dissimuler des URL de logiciels malveillants. Les résultats ont révélé que les pirates utilisaient les packages npm colortoolv2 et mimelib2, qui agissaient comme des téléchargeurs. 

Une fois les packages npm installés, ils récupèrent un logiciel malveillant de deuxième phase à partir d'une infrastructure de commande et de contrôle (C2) en interrogeant des contrats intelligents Ethereum.

Lucija Valentic, chercheuse chez ReversingLabs, a décrit l'attaque comme créative, notant qu'elle n'avait jamais été vue auparavant. L'approche des attaquants a contourné les analyses traditionnelles qui signalent généralement les URL suspectes dans les scripts de package. 

Les acteurs malveillants cachent des logiciels malveillants en plein jour 

Contrats intelligents Ethereum sont des programmes publics qui automatisent les fonctions de la blockchain. Dans ce cas, ils ont permis aux pirates de cacher du code malveillant en plein jour. Les charges utiles malveillantes étaient cachées avec un simple fichier index.js qui, lors de l'exécution, contactait la blockchain pour récupérer les détails du serveur de commande et de contrôle (C2).

Selon La recherche de ReversingLabs recherche, les packages téléchargeurs ne sont pas standards sur npm, et l'hébergement sur blockchain a marqué une nouvelle étape dans les tactiques d'évasion.

La découverte a incité les chercheurs à scanner largement sur GitHub, où ils ont découvert que les packages npm étaient intégrés sous des dépôts se présentant comme des bots de cryptomonnaie. Les bots étaient déguisés en Solana-trading-bot-v2, Hyperliquid-trading-bot-v2, et bien d'autres. Les dépôts étaient déguisés en outils professionnels, attirant de multiples commits, conteneurs et étoiles, mais en réalité, ils étaient simplement fabriqués. 

Selon la recherche, les comptes qui ont effectué des commits ou ont forké les dépôts ont été créés en juillet et n'ont montré aucune activité de codage. La plupart des comptes avaient un fichier README intégré dans leurs dépôts. Il a été révélé que les comptes de commits étaient générés artificiellement via un processus automatisé pour gonfler l'activité de codage. Par exemple, la plupart des commits enregistrés n'étaient que des modifications de fichiers de licence plutôt que des mises à jour significatives.  

Pasttimerles, un pseudonyme utilisé par l'un des mainteneurs, a été notablement utilisé pour partager de nombreux commits. Slunfuedrac, un autre pseudonyme, était lié à l'inclusion des packages npm malveillants dans les fichiers du projet.

Une fois détectés, les pirates ont continué à changer les dépendances vers différents comptes. Après la détection de colortoosv2, ils sont passés à mimelibv2, puis vers mw3ha31q et cnaovalles, qui ont respectivement contribué à l'inflation des commits et au placement des dépendances malveillantes. 

La recherche de ReversingLabs a lié l'activité au Ghost Network de Stargazer, un système coordonné de comptes qui renforce la crédibilité des dépôts malveillants. L'attaque visait les développeurs qui recherchent des outils cryptographiques open-source et pourraient confondre les statistiques GitHub gonflées avec des comptes légitimes.

L'intégration de logiciels malveillants dans la blockchain Ethereum marque une nouvelle phase dans la détection des menaces

L'attaque découverte fait suite à une série d'attaques ciblant l'écosystème blockchain. En mars 2025, ResearchLabs avait découvert d'autres packages npm malveillants qui patchaient des paquets Ethers légitimes avec du code permettant des shells inversés. Les packages npm Ether-provider2 et ethers-providerZ contenant du code malveillant permettant des shells inversés avaient été découverts. 

Plusieurs cas antérieurs, y compris la compromission du package ultralytics de PyPI en décembre 2024, ont également été révélés pour avoir livré des logiciels malveillants de minage de cryptomonnaie. D'autres incidents ont inclus l'utilisation de plateformes de confiance comme Google Drive et GitHub Gist pour masquer du code malveillant via des serveurs C2.

Selon la recherche, 23 incidents de chaîne d'approvisionnement liés à la crypto ont été enregistrés en 2024, allant des logiciels malveillants aux violations d'identifiants. 

La dernière découverte utilise de vieilles astuces mais introduit l'approche des contrats Ethereum comme un nouveau mécanisme. Valentic, la chercheuse de Research Labs, a déclaré que la découverte met en lumière l'évolution rapide des stratégies d'évasion de détection par les acteurs malveillants qui harcèlent les projets open-source et les développeurs. 

La recherche a souligné l'importance de vérifier la légitimité des bibliothèques open-source avant leur adoption. Valentic a averti que les développeurs doivent évaluer chaque bibliothèque qu'ils envisagent d'inclure dans leur environnement de développement. Elle a ajouté qu'il était clair que des indicateurs tels que les étoiles, les commits et le nombre de mainteneurs pouvaient être facilement manipulés.    

Les deux packages npm identifiés, colortoolsv2 et mimelib2, ont depuis été supprimés de npm et les GitHub comptes associés fermés, mais l'activité a mis en lumière comment l'écosystème des menaces logicielles évolue.