- Sonatype 发现六个 npm 包从攻击者的以太坊钱包中读取其命令与控制地址。
- 该名为 NullReceiver 的技术可从空转账的接收方字段解码出两个 IPv4 地址。
- NullReceiver 改进了 EtherHiding，后者被 Google Threat Intelligence 归因于与朝鲜相关的攻击者。
Sonatype研究实验室发布调查结果，指出六个npm包从其攻击者的以太坊钱包中获取命令服务器位置。
这六个npm包中有三个是知名的库，攻击者悄悄接管了它们。任何安装了受影响版本的人都应删除它们，并查找可能已执行的后续代码。
攻击者劫持了三个真实的库
Sonatype研究员Adam Reynolds表示，这六个包分为两类。
真实库的发布账户似乎已被入侵，以便发送中毒版本。
这些是@kolbo/[email protected]、[email protected]和[email protected]。它们将加载器放置在包中已有的文件末尾，从而保留了原始功能。
另外三个是专门构建的包，用于携带恶意软件。它们是[email protected]、[email protected]和[email protected]。
第一个包提供配置助手，第二个包提供有效的PostCSS插件，最后一个包将加载器隐藏在压缩的实用程序文件中。
Sonatype 确认所有六个代码块都使用相同的负载和以太坊钱包。
当受害者运行代码时，加载器会查询以太坊以获取钱包的最后一次出站交易，并提取该交易接收方字段中的字节。
这些字节转换为两个IPv4地址。它们作为恶意软件的主命令和控制服务器。传输仅用于存储恶意软件应连接的指令。
Sonatype研究人员表示，该加载器同时访问多个以太坊 RPC提供商，并让它们相互竞争。然后，它将JSON-RPC调用批量处理，并在直接查询失败时回退到Blockscout API。
一旦找到服务器，它会在端点`/0x/cls`和`/0x/ls`上尝试两个更多阶段，当普通GET请求无法获取内容时，回退到`X-Payload-B64`响应头。
返回的内容经过Base64和XOR解码，然后通过`eval()`在当前Node.js进程中运行，或作为分离的子进程生成。
NullReceiver是更精简的EtherHiding
OpenSourceMalware在两个特洛伊化的Tailwind CSS克隆版bianira-ui和fluid-type-ui中发现了这种链上检索方案，并将其命名为NullReceiver。
该公司将这一活动与与朝鲜有关的Contagious Interview运动联系起来，该运动与Lazarus组织有关。Sonatype验证了钱包匹配。
NullReceiver解决了EtherHiding的缺陷，Google威胁情报在2025年10月将EtherHiding技术归因于与朝鲜有关的行动者。
EtherHiding将秘密隐藏在交易的data字段中，并始终发送到以太坊的公共销毁地址，为防御者提供一个固定的参考点以供监控。
NullReceiver不发送数据，也不重用目标地址。在OpenSourceMalware解构的样本中，接收方字节解码为166.88.134.62，尾部字节拼出字符串“helloipbot!!”作为攻击者指纹。
2025年9月，Cryptopolitan 报道称，ReversingLabs发现了npm下载器colortoolv2和mimelib2，这些下载器将恶意软件URL隐藏在以太坊智能合约中，并与Stargazer的Ghost Network有关联。
Sonatype表示仍在调查相关的npm活动。受影响的开发者应删除被标记的npm包。他们还应寻找第二阶段负载已执行的迹象。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
