Três bibliotecas npm confiáveis ​​distribuíram versões envenenadas que se comunicam com servidores externos através Ethereum

O laboratório de pesquisa Sonatype divulgou resultados que mostram que seis pacotes npm obtêm a localização de seus servidores de comando da carteira Ethereum de um invasor.

Três dos seis pacotes npm eram bibliotecas conhecidas que os atacantes assumiram o controle silenciosamente. Qualquer pessoa que tenha instalado as versões afetadas deve removê-las e procurar por qualquer código subsequente que possa ter sido executado.

Os atacantes invadiram três bibliotecas reais 

O pesquisador da Sonatype, Adam Reynolds, afirma que os seis pacotes se dividem em duas categorias.

Aparentemente, as contas de publicação de bibliotecas reais foram comprometidas, permitindo a distribuição de uma versão adulterada.

São eles @kolbo/[email protected], [email protected]e [email protected]. Eles colocaram o carregador no final de um arquivo que já vinha com o pacote, preservando assim a funcionalidade original.

Os outros três eram pacotes personalizados para transportar o malware. São eles: [email protected], [email protected]e [email protected].

O primeiro pacote inclui auxiliares de configuração, o segundo inclui um plugin PostCSS funcional e o último pacote oculta o carregador dentro de um arquivo utilitário minificado.

A Sonatype confirmou que todos os seis blocos de código utilizam a mesma carga útil e a Ethereum .

Quando a vítima executa o código, o carregador consulta Ethereum para obter a última transação de saída da carteira etracbytes do campo destinatário dessa transação.

Esses bytes se traduzem em dois endereços IPv4. Eles servem como servidores de comando e controle primário e secundário para o malware. A transferência existe apenas para armazenar instruções sobre onde o malware deve se conectar.

Pesquisadores da Sonatype afirmaram que o carregador acessa vários Ethereum simultaneamente, fazendo com que eles disputem entre si. Em seguida, ele agrupa suas chamadas JSON-RPC e recorre à API do Blockscout caso as consultas diretas falhem.

Assim que encontra um servidor, tenta mais duas etapas nos endpoints `/0x/cls` e `/0x/ls`, recorrendo a um cabeçalho de resposta `X-Payload-B64` quando um GET simples não retorna os resultados esperados.

O resultado é decodificado em Base64 e XOR, e então executado no processo Node.js atual através de `eval()` ou iniciado como um processo filho separado.

NullReceiver é uma versão mais enxuta do EtherHiding

Esse esquema de recuperação on-chain foi observado pelo OpenSourceMalware em dois clones trojanizados do Tailwind CSS, bianira-ui e fluid-type-ui, e foi denominado NullReceiver.

A empresa associa a atividade à campanha "Entrevista Contagiosa", ligada à Coreia do Norte e associada ao grupo Lazarus. A Sonatype verificou a correspondência da carteira.

O NullReceiver resolve uma lacuna no EtherHiding, a técnica que o Google Threat Intelligence atribuiu a um agente ligado à Coreia do Norte em outubro de 2025.

O EtherHiding oculta o segredo dentro do campo de dados de uma transação e sempre a envia para o endereço público de queima do Ethereum, fornecendo aos defensores um ponto de referência fixo para monitorar.

O NullReceiver não envia dados e não reutiliza um destino. Na amostra analisada pelo OpenSourceMalware, os bytes do destinatário decodificados resultaram em 166.88.134.62, com os bytes finais formando a string “helloipbot!!” como uma impressão digital do atacante.

Em setembro de 2025, Cryptopolitan noticiou que a ReversingLabs havia descoberto os downloaders npm colortoolv2 e mimelib2, que ocultavam URLs de malware dentro de Ethereum inteligentestrace estavam ligados à Ghost Network de Stargazer.

A Sonatype afirmou que ainda está investigando a atividade relacionada ao npm. Os desenvolvedores afetados devem remover os pacotes npm sinalizados. Eles também devem procurar indícios de que um payload de segundo estágio foi executado.