وفقًا للتقارير الأخيرة، طور مجرمو الإنترنت استراتيجية معقدة لتوزيع البرمجيات الخبيثة من خلال العقود الذكية على شبكة إثيريوم، متجاوزين بذلك أنظمة الأمان التقليدية. وقد اكتشف فريق البحث في ReversingLabs هذه التقنية الجديدة للهجوم، حيث حددوا حزم جديدة من البرمجيات الخبيثة مفتوحة المصدر في مستودع Node Package Manager (NPM)، وهي مكتبة واسعة من موارد JavaScript.

لوسيا فالنتيتش، باحثة في ReversingLabs، كشفت في منشور أن الحزم البرمجية الخبيثة، التي تُعرف باسم "colortoolsv2" و"mimelib2"، تستخدم العقود الذكية في إثيريوم لتغطية التعليمات الضارة. هذه الحزم، التي أُطلقت في يوليو، تعمل كأداة تحميل تقوم بالحصول على عناوين خوادم التحكم من العقود الذكية، بدلاً من احتواء روابط خبيثة مباشرة. هذه المنهجية تُصعّب الكشف، حيث تبدو المعاملات في سلسلة الكتل شرعية، مما يسمح للبرمجيات الخبيثة بتثبيت برامج إضافية على الأنظمة المتأثرة.

استخدام العقود الذكية لإثيريوم لتخزين عناوين URL التي تحتوي على أوامر خبيثة يمثل ابتكارًا في توزيع البرمجيات الخبيثة. أشار فالنتيتش إلى أن هذه التكتيك يمثل تحولًا كبيرًا في استراتيجيات التهرب، مما يوضح كيف يستغل الفاعلون الخبيثون بشكل متزايد مستودعات الشيفرة المفتوحة والمطورين. تظهر هذه التقنية، التي استخدمها سابقًا مجموعة لازاروس في بداية العام، تطورًا سريعًا في أساليب الهجوم.

تشكل الحزم البرمجيات الخبيثة جزءًا من حملة خداع أوسع تعمل أساسًا من خلال GitHub. قام المهاجمون بإنشاء مستودعات وهمية لروبوتات تداول العملات المشفرة، مما منحها مصداقية من خلال عمليات الإرسال المزيفة، والملفات الشخصية الوهمية، والعديد من حسابات المشرفين، ووصف المشاريع الذي يبدو احترافيًا. تهدف هذه الاستراتيجية المعقدة للهندسة الاجتماعية إلى التهرب من طرق الكشف التقليدية من خلال دمج تقنية blockchain مع الممارسات الخادعة.

خلال عام 2024، وثق خبراء الأمن 23 حملة خبيثة مرتبطة بالعملات المشفرة في مستودعات الشيفرة المصدرية المفتوحة. ومع ذلك، فإن هذا المتجه الأخير للهجوم يسلط الضوء على التطور المستمر للتهديدات الموجهة إلى المستودعات. إلى جانب إثيريوم، تم ملاحظة تكتيكات مماثلة على منصات أخرى، مثل مستودع مزيف على GitHub الذي كان يتظاهر بأنه روبوت تداول سولانا وكان يوزع البرمجيات الخبيثة لسرقة بيانات اعتماد محافظ العملات المشفرة. بالإضافة إلى ذلك، هاجم القراصنة "Bitcoinlib"، وهي مكتبة بايثون مفتوحة المصدر مصممة لتسهيل التطوير في بيتكوين، مما يوضح الطبيعة المتنوعة والقابلة للتكيف لهذه التهديدات السيبرانية.