Исследователи компании ReversingLabs обнаружили вредоносные пакеты в репозитории NPM. Они используют смарт-контракты Ethereum для сокрытия команд и загрузки вируса.
Два пакета, colortoolsv2 и mimelib2, опубликованные в июле, работали как простые загрузчики. Вместо прямых вредоносных ссылок они запрашивали адреса управляющих серверов из смарт-контрактов.
После установки пакеты обращались к блокчейну, чтобы получить URL-адрес для загрузки вредоноса второго этапа. Это усложняет обнаружение, поскольку трафик блокчейна выглядит легитимным.
По словам исследователя ReversingLabs Люсии Валентич, новым является именно использование смарт-контрактов для размещения URL-адресов. Ранее такие методы не встречались.
Атака стала частью более крупной кампании с использованием социальной инженерии на GitHub. Злоумышленники создавали поддельные репозитории торговых ботов. Они имитировали активную разработку с помощью фейковых коммитов и нескольких учетных записей, чтобы вызвать доверие.
По словам Валентич, новый вектор атаки показывает эволюцию взломов. Злоумышленники комбинируют блокчейн и социальную инженерию для обхода традиционных методов обнаружения.
Подобные атаки нацелены не только на Ethereum. В апреле поддельный репозиторий на GitHub, маскирующийся под торгового бота для Solana, распространял вредоносное ПО для кражи данных кошельков. Хакеры также атаковали Bitcoinlib — библиотеку Python для разработки на биткоине.
Напомним, в августе основатель CertiK и профессор Колумбийского университета Жунхуэй Гу заявил, что криптоиндустрия ведет «бесконечную войну» с хакерами.