- Исследование ReversingLabs выявило пакеты npm clortoolv2 и mimelib2, которые использовали смарт-контракты Ethereum для сокрытия URL-адресов вредоносного ПО.
- Активность была связана с Ghost Network от Stargazer, при этом исследователи настаивают на осторожности при выборе библиотек с открытым исходным кодом.
- Кампания опиралась на поддельные репозитории GitHub, замаскированные под крипто-торговые боты, с непроверенными звездами, коммитами и сопровождающими.
Исследование ReversingLabs выявило кампанию вредоносного ПО, которая использовала смарт-контракты Ethereum для сокрытия вредоносных URL-адресов. Результаты показали, что хакеры использовали пакеты npm colortoolv2 и mimelib2, которые действовали как загрузчики.
После установки пакетов npm они получают вредоносное ПО второго этапа от инфраструктуры команд и управления (C2), запрашивая смарт-контракты Ethereum.
Исследователь ReversingLabs Луция Валентич описала атаку как креативную, отметив, что такое ранее не встречалось. Подход злоумышленников обошел традиционные сканирования, которые обычно отмечают подозрительные URL-адреса внутри скриптов пакетов.
Акторы угроз прячут вредоносное ПО на виду
Смарт-контракты Ethereum являются публичными программами, автоматизирующими функции блокчейна. В данном случае они позволили хакерам скрыть вредоносный код на виду. Вредоносные payloads были скрыты простым файлом index.js, который при выполнении обращался к блокчейну для получения деталей сервера команд и управления (C2).
Согласно ReversingLabs’ исследований Cryptorank, пакеты-загрузчики не являются стандартными для npm, а хостинг в блокчейне ознаменовал новый этап тактик уклонения.
Обнаружение побудило исследователей широко сканировать GitHub, где они обнаружили, что пакеты npm были встроены под репозитории, маскирующиеся под криптовалютные боты. Боты были замаскированы как Solana-trading-bot-v2, Hyperliquid-trading-bot-v2 и многие другие. Репозитории были замаскированы под профессиональные инструменты, привлекая множество коммитов, контейнеров и звезд, но на самом деле они были просто сфабрикованы.
Согласно исследованию, аккаунты, которые выполняли коммиты или форкали репозитории, были созданы в июле и не показывали никакой активности по написанию кода. У большинства аккаунтов был встроен файл README в их репозитории. Выяснилось, что количество коммитов было искусственно сгенерировано через автоматизированный процесс для раздувания активности по написанию кода. Например, большинство записанных коммитов были просто изменениями файлов лицензии, а не значимыми обновлениями.
Пасттаймлерс (Pasttimerles), никнейм одного из сопровождающих, был заметно использован для публикации множества коммитов. Слунфьюдрек (Slunfuedrac), другой никнейм, был связан с включением вредоносных пакетов npm в файлы проекта.
После обнаружения хакеры продолжали переключать зависимости на разные аккаунты. После обнаружения colortoosv2 они переключились на mimelibv2 и впоследствии на mw3ha31q и cnaovalles, что способствовало раздуванию коммитов и размещению вредоносных зависимостей соответственно.
Исследование ReversingLabs связало активность с сетью Stargazer’s Ghost, скоординированной системой аккаунтов, которая повышает достоверность вредоносных репозиториев. Атака была направлена на разработчиков, которые ищут инструменты с открытым исходным кодом для криптовалюты и могут принять раздутые статистические данные GitHub за легитимные аккаунты.
Внедрение вредоносного ПО в блокчейн Ethereum отмечает новый этап в обнаружении угроз
Обнаруженная атака следует за серией атак, направленных на экосистему блокчейна. В марте 2025 года ResearchLabs обнаружила другие вредоносные пакеты npm, которые патчили легитимные пакеты Ethers кодом, позволяющим обратные оболочки. Были обнаружены пакеты npm ether-provider2 и ethers-providerZ, содержащие вредоносный код, позволяющий обратные оболочки.
Несколько более ранних случаев, включая компрометацию пакета ultralytics в PyPI в декабре 2024 года, также были раскрыты для доставки вредоносного ПО для майнинга криптовалюты. Другие инциденты включали использование доверенных платформ, таких как Google Drive и GitHub Gist, для маскировки вредоносного кода через серверы C2.
Согласно исследованию, в 2024 году было зафиксировано 23 инцидента с цепочкой поставок, связанных с криптовалютой, от вредоносного ПО до утечек учетных данных.
Последнее открытие использует старые трюки, но представляет подход контрактов Ethereum как новый механизм. Валентич, исследователь Research Labs, сказала, что открытие подчеркивает быструю эволюцию стратегий уклонения от обнаружения злоумышленниками, троллящими проекты с открытым исходным кодом и разработчиков.
Исследование подчеркнуло важность проверки легитимности библиотек с открытым исходным кодом перед внедрением. Валентич предупредила, что разработчики должны оценивать каждую библиотеку, которую они рассматривают, перед включением ее в свою среду разработки. Она добавила, что было ясно, что такие индикаторы, как звезды, коммиты и количество сопровождающих, могут быть легко манипулированы.
Оба идентифицированных пакета npm, colortoolsv2 и mimelib2, с тех пор были удалены из npm и связанные GitHub аккаунты закрыты, но активность пролила свет на то, как эволюционирует экосистема программных угроз.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Коллинс Дж. Окот
Коллинс Окот — журналист и аналитик рынка с 8-летним опытом освещения криптовалютной и технологической отраслей. Он является сертифицированным финансовым аналитиком (CFA) и имеет степень в области актуарной математики. Ранее Коллинс работал писателем и редактором в Geek Computer и CoinRabbit.
