朝鲜黑客现在使用区块链隐藏窃取加密货币的恶意软件

朝鲜黑客现在使用一种名为EtherHiding的基于区块链的方法来交付恶意软件，以促进其加密货币盗窃行动。据专家称，一名朝鲜黑客被发现使用这种方法，攻击者将JavaScript Payloads等代码嵌入基于区块链的智能合约中。

使用这种方法，黑客将去中心化账本转变为具有弹性的命令与控制（C2）系统。根据Google威胁情报小组（GTIG）发布的一篇博客文章，这是他们首次观察到如此规模的实体使用这种方法。该小组声称，在面对传统的下架和黑名单措施时，使用EtherHiding非常方便。该威胁情报小组提到，他们自2025年2月以来一直在追踪威胁行为者UNC5342，并将EtherHiding整合到正在进行的社会工程学活动中。

朝鲜黑客转向EtherHiding

Google 指出，它已将EtherHiding的使用与Palo Alto Networks追踪的社会工程学活动Contagious Interview联系起来。Contagious Interview由朝鲜行为者实施。根据Socket研究人员的数据，该组织通过新的恶意软件加载器XORIndex扩大了其行动。该加载器已累积数千次下载，目标群体为求职者以及被认为拥有数字资产或敏感凭证的个人。

在此次活动中，朝鲜黑客使用JADESNOW恶意软件分发INVISIBLEFERRET的JavaScript变体，该变体已被用于实施多次加密货币盗窃。该活动针对加密和技术行业的开发人员，窃取敏感数据、数字资产，并获取企业网络的访问权限。它还围绕一种社会工程学策略展开，该策略复制了合法的招聘流程，使用虚假招聘人员和虚构的公司。

虚假招聘人员被用来引诱候选人前往Telegram或Discord等平台。随后，恶意软件通过伪装成技术评估或面试修复程序的虚假编码测试或软件下载交付到他们的系统和设备中。该活动使用多阶段恶意软件感染过程，通常涉及JADESNOW、INVISIBLEFERRET和BEAVERTAIL等恶意软件，以破坏受害者的设备。该恶意软件影响Windows、Linux和macOS系统。

研究人员详述EtherHiding的弊端

EtherHiding为攻击者提供了更好的优势，GTIG指出它构成了一种特别难以缓解的威胁。EtherHiding的一个令人担忧的核心要素是其去中心化性质。这意味着它存储在一个无需许可的去中心化区块链上，使得执法部门或网络安全公司难以将其关闭，因为它没有中央服务器。由于区块链交易的匿名性质，攻击者的身份也难以追踪。

如果你不是智能合约的所有者，也很难删除部署在区块链上的智能合约中的恶意代码。控制智能合约的攻击者，在这种情况下是朝鲜黑客，也可以选择随时更新恶意有效载荷。虽然安全研究人员可能会尝试通过标记恶意合约来警告社区，但这并不能阻止黑客利用智能合约继续进行恶意活动。

此外，攻击者可以使用只读调用检索其恶意有效载荷，这些调用不会在区块链上留下可见的交易历史，使得研究人员难以追踪他们在区块链上的活动。根据威胁研究报告，EtherHiding代表了“向下一代防弹托管的转变”，骗子正在利用区块链技术最显著的特征进行恶意目的。