Hackers agora escondem malware dentro de contratos inteligentes do Ethereum

A pesquisa da ReversingLabs descobriu uma campanha de malware que usava contratos inteligentes do Ethereum para ocultar URLs de software malicioso. As descobertas revelaram que os hackers usaram os pacotes npm colortoolv2 e mimelib2, que atuavam como downloaders. 

Uma vez que os pacotes npm são instalados, eles buscam malware de segunda etapa de uma infraestrutura de comando e controle (C2) consultando contratos inteligentes do Ethereum.

A pesquisadora da ReversingLabs, Lucija Valentic, descreveu o ataque como criativo, observando que nunca foi visto antes. A abordagem dos atacantes contornou verificações tradicionais que normalmente sinalizam URLs suspeitas dentro dos scripts do pacote. 

Atores de ameaça escondem malware à vista de todos 

Contratos inteligentes do Ethereum são programas públicos que automatizam funções da blockchain. Neste caso, eles permitiram que os hackers escondessem código malicioso à vista de todos. As cargas maliciosas foram escondidas com um simples arquivo index.js, que, quando executado, entrava em contato com a blockchain para recuperar os detalhes do servidor de comando e controle (C2).

De acordo com Da ReversingLabs pesquisa, os pacotes downloaders não são padrão no npm, e o hospedagem na blockchain marcou uma nova etapa nas táticas de evasão.

A descoberta levou os pesquisadores a escanear amplamente o GitHub, onde descobriram que os pacotes npm estavam embutidos abaixo de repositórios que se passavam por bots de criptomoedas. Os bots eram disfarçados como Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 e muitos outros. Os repositórios eram disfarçados como ferramentas profissionais, atraindo múltiplos commits, contêineres e estrelas, mas, na realidade, eram apenas fabricados. 

De acordo com a pesquisa, as contas que realizaram commits ou bifurcaram os repositórios foram criadas em julho e não mostraram nenhuma atividade de codificação. A maioria das contas tinha um arquivo README embutido em seus repositórios. Descobriu-se que as contagens de commits foram geradas artificialmente por meio de um processo automatizado para inflar a atividade de codificação. Por exemplo, a maioria dos commits registrados eram apenas alterações no arquivo de licença, em vez de atualizações significativas.  

Pasttimerles, um nome de usuário usado por um dos mantenedores, foi notavelmente usado para compartilhar muitos commits. Slunfuedrac, outro nome de usuário, estava vinculado à inclusão dos pacotes npm maliciosos nos arquivos do projeto.

Uma vez detectados, os hackers continuaram alternando as dependências para contas diferentes. Após a detecção do colortoosv2, eles mudaram para mimelibv2 e subsequentemente para mw3ha31q e cnaovalles, que contribuíram para a inflação de commits e a colocação de dependências maliciosas, respectivamente. 

A pesquisa da ReversingLabs vinculou a atividade à Ghost Network da Stargazer, um sistema coordenado de contas que aumenta a credibilidade de repositórios maliciosos. O ataque visava desenvolvedores que buscam ferramentas de criptomoedas de código aberto e podem confundir estatísticas infladas do GitHub com contas legítimas.

Incorporação de malware na blockchain Ethereum marca uma nova fase na detecção de ameaças

O ataque descoberto segue uma série de ataques direcionados ao ecossistema blockchain. Em março de 2025, a ResearchLabs descobriu outros pacotes npm maliciosos que corrigiam pacotes Ethers legítimos com código que permitia shells reversos. Os pacotes npm ether-provider2 e ethers-providerZ, contendo código malicioso que permitia shells reversos, foram descobertos. 

Vários casos anteriores, incluindo a comprometimento do pacote ultralytics do PyPI em dezembro de 2024, também foram revelados por entregar malware de mineração de criptomoedas. Outros incidentes incluíram plataformas confiáveis, como Google Drive e GitHub Gist, sendo usadas para mascarar código malicioso por meio de servidores C2.

De acordo com a pesquisa, 23 incidentes de cadeia de suprimentos relacionados a criptomoedas foram registrados em 2024, variando de malware a violações de credenciais. 

A última descoberta emprega truques antigos, mas introduz a abordagem de contratos Ethereum como um novo mecanismo. Valentic, pesquisadora do Research Labs, disse que a descoberta destaca a rápida evolução das estratégias de evasão de detecção por atores maliciosos que assediam projetos de código aberto e desenvolvedores. 

A pesquisa destacou a importância de verificar a legitimidade das bibliotecas de código aberto antes da adoção. Valentic alertou que os desenvolvedores devem avaliar cada biblioteca que estão considerando antes de incluí-la em seu ambiente de desenvolvimento. Ela acrescentou que ficou claro que indicadores como estrelas, commits e o número de mantenedores podem ser facilmente manipulados.    

Ambos os pacotes npm identificados, colortoolsv2 e mimelib2, foram removidos do npm e as contas associadas GitHub foram encerradas, mas a atividade trouxe à luz como o ecossistema de ameaças de software está evoluindo.