Les smart contracts Ethereum deviennent un nouveau terrain de jeu pour les Hacker cachant des logiciels malveillants.

Récemment, l'équipe de recherche de ReversingLabs a révélé une découverte inquiétante : les Hackers exploitent habilement les smart contracts Ethereum pour dissimuler les URL de logiciels malveillants. Cette enquête montre que les attaquants utilisent les paquets logiciels npm colortoolv2 et mimelib2 comme téléchargeurs, et une fois installés, ils interrogent les smart contracts Ethereum pour obtenir des instructions et des informations sur l'infrastructure de commande et de contrôle (C2) de la deuxième étape du logiciel malveillant.

Les chercheurs de ReversingLabs, Lucija Valentic, ont déclaré que cette méthode d'attaque est extrêmement créative et sans précédent, réussissant à contourner les mécanismes de balayage traditionnels, qui marquent généralement les URL suspectes dans les scripts de logiciels piège.

Les malwares habilement camouflés dans la blockchain

Les hackers exploitent les caractéristiques des smart contracts Ethereum pour dissimuler du code malveillant dans un fichier index.js apparemment ordinaire. Lors de l'exécution, ce fichier accède à la blockchain pour obtenir des informations détaillées sur le serveur C2. Une étude de ReversingLabs indique que cette méthode d'hébergement sur blockchain marque l'entrée des stratégies d'évitement dans une nouvelle phase.

Les chercheurs ont effectué un vaste scan sur GitHub et ont découvert que ces packages npm étaient intégrés dans des dépôts déguisés en robots de trading de cryptomonnaies, tels que Solana-trading-bot-v2 et Hyperliquid-trading-bot-v2. Ces dépôts se font passer pour des outils professionnels, avec de multiples soumissions, conteneurs et étoiles, mais en réalité, ils sont tous faux.

Hacker le camouflage soigné et l'évolution continue

Des recherches ont révélé que les comptes qui effectuent des soumissions ou copient des dépôts de code ont été créés en juillet et n'ont montré aucune activité de codage. La plupart des comptes ont intégré un fichier README dans leur dépôt. Le nombre de soumissions a été artificiellement généré par des programmes automatisés, dans le but d'exagérer l'activité de codage. Par exemple, la plupart des soumissions enregistrées ne sont que des modifications de fichiers de licence, et non des mises à jour substantielles.

Les chercheurs ont découvert qu'une fois détectés, les Hackers changent rapidement leurs dépendances vers différents comptes. Après la découverte de colortoolsv2, ils ont commencé à utiliser mimelibv2, puis ont ensuite basculé vers mw3ha31q et cnaovalles, ce qui a entraîné une inflation du nombre de soumissions et l'insertion de dépendances malveillantes.

ReversingLabs a associé cet événement au Ghost Network de Stargazer, un système de comptes coordonné visant à renforcer la crédibilité des dépôts malveillants. L'objectif de cette attaque est les développeurs à la recherche d'outils de cryptomonnaie open source, qui pourraient confondre des statistiques GitHub exagérées avec des indicateurs de comptes légitimes.

Les menaces persistantes auxquelles est confronté l'écosystème de la blockchain

Cette attaque découverte n'est pas un cas isolé. En mars 2025, ResearchLabs a découvert d'autres paquets npm malveillants, qui ont modifié des paquets Ethers légitimes en utilisant du code permettant d'activer un shell inversé. De plus, deux paquets npm contenant du code malveillant, Ether-provider2 et ethers-providerZ, ont également été découverts.

En regardant en arrière, l'incident de décembre 2024 où le paquet ultralytics de PyPI a été compromis pour diffuser un logiciel malveillant de minage de cryptomonnaie, ainsi que des cas utilisant des plateformes de confiance telles que Google Drive et GitHub Gist pour cacher du code malveillant, montrent la diversité de ce type d'attaque. Selon les recherches, 23 incidents de chaîne d'approvisionnement liés aux cryptomonnaies ont été enregistrés en 2024, impliquant des logiciels malveillants et des violations de données.

Conseils de sécurité et perspectives d'avenir

Les chercheurs de ReversingLabs, Valentic, soulignent que cette découverte met en évidence l'évolution rapide des stratégies d'évasion de détection des attaquants malveillants ciblant les projets open source et les développeurs. Elle met en garde les développeurs sur la nécessité d'évaluer soigneusement la légitimité des bibliothèques open source avant de les adopter, car des indicateurs tels que le nombre d'étoiles, le nombre de soumissions et le nombre de mainteneurs peuvent facilement être manipulés.

Bien que les packages npm associés aient été supprimés et que le compte GitHub correspondant ait été fermé, cet événement a révélé que l'écosystème des menaces logicielles est en constante évolution. Les développeurs et les experts en sécurité doivent rester vigilants et adopter des mesures de vérification plus strictes pour faire face à ces menaces de plus en plus complexes.