Tre librerie npm affidabili hanno distribuito versioni contaminate che comunicano con server esterni tramite Ethereum

Sonatype Research Labs ha pubblicato i risultati di una ricerca secondo cui sei pacchetti npm ricavano gli indirizzi dei loro server di comando dal portafoglio Ethereum di un aggressore.

Tre dei sei pacchetti npm erano librerie ben note che gli hacker hanno preso il controllo silenziosamente. Chiunque abbia installato le versioni interessate dovrebbe rimuoverle e verificare la presenza di eventuale codice malevolo che potrebbe essere stato eseguito.

Gli aggressori hanno preso d'assalto tre biblioteche reali 

Il ricercatore di Sonatype Adam Reynolds afferma che i sei pacchetti rientrano in due categorie.

Sembra che gli account di pubblicazione di vere biblioteche siano stati compromessi per consentire la distribuzione di una versione adulterata.

Si tratta di @kolbo/[email protected], [email protected]e [email protected]. Hanno posizionato il loader alla fine di un file già presente nel pacchetto, preservandone così la funzionalità originale.

Gli altri tre erano pacchetti creati su misura per veicolare il malware. Si tratta di [email protected], [email protected]e [email protected].

Il primo pacchetto include strumenti di configurazione, il secondo un plugin PostCSS funzionante e l'ultimo pacchetto integra il caricatore all'interno di un file di utilità minimizzato.

Sonatype ha confermato che tutti e sei i blocchi di codice utilizzano lo stesso payload e Ethereum .

Quando la vittima esegue il codice, il loader interroga Ethereum per ottenere l'ultima transazione in uscita del portafoglio edtraci byte dal campo del destinatario di tale transazione.

Quei byte si traducono in due indirizzi IPv4. Fungono da server di comando e controllo primario e secondario per il malware. Il trasferimento serve unicamente a memorizzare le istruzioni su dove il malware deve connettersi.

Secondo i ricercatori di Sonatype, il loader si connette contemporaneamente a diversi Ethereum , mettendoli in competizione tra loro. Successivamente, raggruppa le chiamate JSON-RPC e, in caso di fallimento delle query dirette, ricorre all'API di Blockscout.

Una volta trovato un server, tenta altre due fasi agli endpoint `/0x/cls` e `/0x/ls`, ripiegando su un'intestazione di risposta `X-Payload-B64` quando una semplice richiesta GET non riesce a fornire i dati.

Il risultato viene decodificato in Base64 e tramite XOR, quindi eseguito nel processo Node.js corrente attraverso `eval()` oppure avviato come processo figlio separato.

NullReceiver è un EtherHiding più leggero

Questo schema di recupero on-chain è stato individuato da OpenSourceMalware in due cloni di Tailwind CSS infettati da trojan, bianira-ui e fluid-type-ui, ed è stato denominato NullReceiver.

L'attività è collegata dall'azienda alla campagna "Contagious Interview", legata alla Corea del Nord e associata al gruppo Lazarus. Sonatype ha verificato la corrispondenza del portafoglio.

NullReceiver colma una lacuna in EtherHiding, la tecnica che Google Threat Intelligence ha attribuito a un attore legato alla Corea del Nord nell'ottobre del 2025.

EtherHiding nasconde il segreto all'interno del campo dati di una transazione e lo invia sempre all'indirizzo pubblico di burn di Ethereum, fornendo ai difensori un punto di riferimento fisso da monitorare.

NullReceiver non invia dati e non riutilizza la destinazione. Nell'esempio decostruito da OpenSourceMalware, i byte del destinatario sono stati decodificati in 166.88.134.62, con i byte finali che formano la stringa "helloipbot!!" come impronta digitale dell'attaccante.

Nel settembre 2025, Cryptopolitan ha segnalato che ReversingLabs aveva scoperto i downloader npm colortoolv2 e mimelib2, che nascondevano URL di malware all'interno Ethereum di smart contracttraced erano collegati alla Ghost Network di Stargazer.

Sonatype ha dichiarato di essere ancora impegnata nell'indagine sull'attività correlata su npm. Gli sviluppatori interessati dovrebbero rimuovere i pacchetti npm segnalati. Dovrebbero inoltre prestare attenzione a eventuali segnali che indichino l'esecuzione di un payload di secondo livello.