Gli hacker ora nascondono malware all'interno degli smart contract di Ethereum

La ricerca di ReversingLabs ha scoperto una campagna di malware che utilizzava smart contract di Ethereum per nascondere URL di software dannoso. I risultati hanno rivelato che gli hacker hanno utilizzato i pacchetti npm colortoolv2 e mimelib2, che fungevano da downloader. 

Una volta installati i pacchetti npm, questi recuperano il malware di seconda fase da un'infrastruttura di comando e controllo (C2) interrogando gli smart contract di Ethereum.

La ricercatrice di ReversingLabs Lucija Valentic ha descritto l'attacco come creativo, notando che non era mai stato visto prima. L'approccio degli attaccanti ha aggirato gli scan tradizionali che tipicamente segnalano URL sospetti all'interno degli script dei pacchetti. 

Gli attori delle minacce nascondono il malware alla vista di tutti 

Smart contract di Ethereum sono programmi pubblici che automatizzano le funzioni della blockchain. In questo caso, hanno permesso agli hacker di nascondere codice dannoso alla vista di tutti. I payload dannosi erano nascosti con un semplice file index.js, che, quando eseguito, raggiungeva la blockchain per recuperare i dettagli del server di comando e controllo (C2).

Secondo Di ReversingLabs ricerca, i pacchetti downloader non sono standard su npm, e l'hosting su blockchain ha segnato una nuova fase nelle tattiche di evasione.

La scoperta ha spinto i ricercatori a scansionare ampiamente su GitHub, dove hanno scoperto che i pacchetti npm erano incorporati sotto repository che si fingevano bot di criptovaluta. I bot erano camuffati come Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 e molti altri. I repository erano camuffati come strumenti professionali, attirando numerosi commit, contenitori e stelle, ma in realtà erano solo fabbricati. 

Secondo la ricerca, gli account che hanno eseguito commit o fork dei repository sono stati creati a luglio e non mostravano alcuna attività di codifica. La maggior parte degli account aveva un file README incorporato nei loro repository. È stato scoperto che i conteggi dei commit erano generati artificialmente tramite un processo automatizzato per gonfiare l'attività di codifica. Ad esempio, la maggior parte dei commit registrati erano solo modifiche ai file di licenza piuttosto che aggiornamenti significativi.  

Pasttimerles, un handle utilizzato da uno dei manutentori, è stato notevolmente utilizzato per condividere molti commit. Slunfuedrac, un altro handle, era legato all'inclusione dei pacchetti npm dannosi nei file del progetto.

Una volta rilevati, gli hacker hanno continuato a cambiare le dipendenze verso account diversi. Dopo che colortoosv2 è stato rilevato, sono passati a mimelibv2 e successivamente verso mw3ha31q e cnaovalles, che hanno contribuito rispettivamente all'inflazione dei commit e alla collocazione delle dipendenze dannose. 

La ricerca di ReversingLabs ha collegato l'attività alla Ghost Network di Stargazer, un sistema coordinato di account che aumenta la credibilità dei repository dannosi. L'attacco ha preso di mira gli sviluppatori che cercano strumenti open-source di criptovaluta e potrebbero confondere le statistiche gonfiate di GitHub con account legittimi.

L'inserimento di malware nella blockchain di Ethereum segna una nuova fase nel rilevamento delle minacce

L'attacco scoperto segue una serie di attacchi che prendono di mira l'ecosistema blockchain. Nel marzo 2025, ResearchLabs ha scoperto altri pacchetti npm dannosi che patchavano i pacchetti Ethers legittimi con codice che abilitava shell inverse. Sono stati scoperti i pacchetti npm ether-provider2 e ethers-providerZ contenenti codice dannoso che abilitava shell inverse. 

Diversi casi precedenti, incluso il compromesso del pacchetto ultralytics di PyPI nel dicembre 2024, sono stati anche rivelati per la consegna di malware di mining di criptovaluta. Altri incidenti includevano piattaforme fidate come Google Drive e GitHub Gist utilizzate per mascherare codice dannoso tramite server C2.

Secondo la ricerca, sono stati registrati 23 incidenti di supply chain correlati alle criptovalute nel 2024, che vanno dal malware alle violazioni delle credenziali. 

L'ultima scoperta impiega vecchi trucchi ma introduce l'approccio dei contratti Ethereum come nuovo meccanismo. Valentic, la ricercatrice di Research Labs, ha detto che la scoperta evidenzia la rapida evoluzione delle strategie di evasione del rilevamento da parte di attori malintenzionati che prendono di mira i progetti open-source e gli sviluppatori. 

La ricerca ha evidenziato l'importanza di verificare la legittimità delle librerie open-source prima dell'adozione. Valentic ha avvertito che gli sviluppatori devono valutare ciascuna libreria che stanno considerando prima di includerla nel loro ambiente di sviluppo. Ha aggiunto che era chiaro che indicatori come stelle, commit e il numero di manutentori possono essere facilmente manipolati.    

Entrambi i pacchetti npm identificati, colortoolsv2 e mimelib2, sono stati successivamente rimossi da npm e i relativi GitHub account chiusi, ma l'attività ha messo in luce come l'ecosistema delle minacce software si stia evolvendo.