해커들이 이제 이더리움 스마트 계약 내에 악성 코드를 숨기고 있습니다

ReversingLabs의 연구는 이더리움 스마트 계약을 사용하여 악성 소프트웨어 URLS를 숨기는 악성 캠페인을 발견했습니다. 이 발견은 해커들이 colortoolv2와 mimelib2라는 npm 패키지를 다운로드어로 사용했음을 밝혔습니다. 

npm 패키지가 설치되면, 이 패키지들은 이더리움 스마트 계약을 쿼리하여 명령 및 제어(C2) 인프라에서 2단계 악성 코드를 가져옵니다.

ReversingLabs 연구원 Lucija Valentic은 이 공격을 창의적이라고 묘사하며 이전에 본 적이 없다고 언급했습니다. 공격자들의 접근 방식은 일반적으로 패키지 스크립트 내의 의심스러운 URL을 플래그하는 전통적인 스캔을 우회했습니다. 

위협 행위자들이 악성 코드를 평범한 모습 속에 숨김 

이더리움 스마트 계약 은 블록체인 기능을 자동화하는 공개 프로그램입니다. 이 경우, 해커들이 평범한 모습 속에 악성 코드를 숨길 수 있게 했습니다. 악성 페이로드는 간단한 index.js 파일로 숨겨졌으며, 실행 시 블록체인에 접근하여 명령 및 제어(C2) 서버 세부 정보를 검색했습니다.

에 따르면 ReversingLabs의 연구에, 다운로드어 패키지는 npm에서 표준이 아니며, 블록체인 호스팅은 회피 전술의 새로운 단계를 표시했습니다.

이 발견은 연구자들이 GitHub 전반을 광범위하게 스캔하도록 유도했으며, 그들은 npm 패키지가 암호화폐 봇을 가장하는 저장소 아래에 임베드되어 있음을 발견했습니다. 봇들은 Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 등으로 위장했으며, 저장소는 전문 도구로 위장하여 여러 커밋, 컨테이너 및 스타를 유치했지만, 실제로는 조작된 것이었습니다. 

연구에 따르면, 저장소에 커밋하거나 포크한 계정들은 7월에 생성되었으며 코딩 활동을 보이지 않았습니다. 대부분의 계정에는 저장소에 README 파일이 임베드되어 있었습니다. 커밋 수가 코딩 활동을 부풀리기 위해 자동화된 프로세스를 통해 인위적으로 생성되었음이 밝혀졌습니다. 예를 들어, 대부분의 커밋은 의미 있는 업데이트가 아닌 라이선스 파일 변경이었습니다.  

한 유지 관리자가 사용한 핸들인 Pasttimerles는 여러 커밋을 공유하는 데 사용되었습니다. 다른 핸들인 Slunfuedrac은 프로젝트 파일에 악성 npm 패키지를 포함하는 것과 관련이 있었습니다.

감지된 후, 해커들은 서로 다른 계정으로 의존성을 계속 변경했습니다. colortoosv2가 감지된 후, 그들은 mimelibv2로 전환했고, 이후 mw3ha31q와 cnaovalles로 전환했으며, 이는 각각 커밋 부풀리기와 악성 의존성 배치에 기여했습니다. 

ReversingLabs의 연구는 이 활동을 Stargazer의 Ghost Network에 연결했는데, 이는 악성 저장소의 신뢰도를 높이는 조정된 계정 시스템입니다. 이 공격은 오픈 소스 암호화폐 도구를 찾고 인위적으로 부풀려진 GitHub 통계를 합법적인 계정으로 오인할 수 있는 개발자들을 표적으로 삼았습니다.

이더리움 블록체인 악성 코드 임베드는 위협 탐지의 새로운 단계를 표시

발견된 공격은 블록체인 생태계를 표적으로 삼는 일련의 공격에 이어졌습니다. 2025년 3월, ResearchLabs는 합법적인 Ethers 패키지를 역방향 셸을 가능하게 하는 코드로 패치한 다른 악성 npm 패키지를 발견했습니다. 역방향 셸을 가능하게 하는 악성 코드를 포함하는 Ether-provider2 및 ethers-providerZ npm 패키지가 발견되었습니다. 

2024년 12월 PyPI의 ultralytics 패키지가 침해된 것을 포함한 여러 이전 사례도 암호화폐 마이닝 악성 코드를 전달하기 위해 공개되었습니다. 다른 사건에는 C2 서버를 통해 악성 코드를 마스킹하는 데 사용된 Google Drive 및 GitHub Gist와 같은 신뢰할 수 있는 플랫폼이 포함되었습니다.

연구에 따르면 2024년에는 악성 코드부터 자격 증명 유출까지 다양한 23건의 암호화폐 관련 공급망 사건이 기록되었습니다. 

최신 발견은 오래된 트릭을 사용하지만 이더리움 계약 접근 방식을 새로운 메커니즘으로 도입합니다. Research Labs 연구원인 Valentic은 이 발견이 오픈 소스 프로젝트와 개발자를 조롱하는 악성 행위자들의 탐지 회피 전략이 빠르게 진화하고 있음을 강조한다고 말했습니다. 

이 연구는 채택 전에 오픈 소스 라이브러리의 정당성을 검증하는 중요성을 강조했습니다. Valentic은 개발자가 개발 환경에 포함하기 전에 고려 중인 각 라이브러리를 평가해야 한다고 경고했습니다. 그녀는 스타, 커밋 및 유지 관리자 수와 같은 지표가 쉽게 조작될 수 있음을 분명히 했습니다.    

식별된 두 npm 패키지, colortoolsv2 및 mimelib2는 이제 npm에서 제거되었으며 관련 GitHub 계정이 닫혔지만, 이 활동은 소프트웨어 위협 생태계가 어떻게 진화하고 있는지를 조명했습니다.