Смарт-контракты Ethereum стали новой теплицей для хакеров, скрывающих вредоносные программы.

Недавно исследовательская группа ReversingLabs раскрыла тревожную находку: Хакеры ловко используют смарт-контракты Ethereum, чтобы скрывать URL-адреса вредоносных программ. Это расследование показало, что злоумышленники используют программные пакеты npm colortoolv2 и mimelib2 в качестве загрузчиков, и после завершения установки они запрашивают смарт-контракты Ethereum для получения инструкций и информации о инфраструктуре управления и контроля (C2) второго этапа вредоносной программы.

Исследователь ReversingLabs Люция Валентич заявила, что этот метод атаки крайне креативен и беспрецедентен, успешно обходя традиционные механизмы сканирования, которые обычно помечают подозрительные URL-адреса в скриптах программного пакета.

Вредоносное ПО хитро скрыто в блокчейне

Хакеры используют особенности Ethereum смарт-контрактов, чтобы скрыть вредоносный код в на вид обычном файле index.js. При выполнении этот файл получает доступ к блокчейну для получения подробной информации о C2 сервере. Исследование ReversingLabs указывает на то, что такой способ использования блокчейна для хостинга знаменует собой новый этап в стратегиях уклонения.

Исследователи провели обширное сканирование на GitHub и обнаружили, что эти npm ловушка были встроены в репозитории, замаскированные под криптовалютные роботы, такие как Solana-trading-bot-v2 и Hyperliquid-trading-bot-v2. Эти репозитории маскируются под профессиональные инструменты, имеют множество коммитов, контейнеров и звезд, но на самом деле все они поддельные.

Хакерская искусная маскировка и постоянная эволюция

Исследование показало, что аккаунты, выполняющие коммиты или копирующие репозитории, были созданы в июле и не показывали никакой активности в кодировании. Большинство аккаунтов встроило в свои репозитории файлы README. Количество коммитов было искусственно сгенерировано автоматизированными процессами с целью преувеличения активности в кодировании. Например, большинство зарегистрированных коммитов всего лишь изменяли файлы лицензии, а не содержали существенных обновлений.

Исследователи обнаружили, что как только Хакер был обнаружен, он быстро переключает зависимости на другие учетные записи. После того, как colortoolsv2 был найден, они начали использовать mimelibv2, а затем перешли на mw3ha31q и cnaovalles, что привело к увеличению количества отправок и внедрению вредоносных зависимостей.

ReversingLabs связывает это событие с Ghost Network от Stargazer, который является координированной учетной системой, предназначенной для повышения доверия к злонамеренным репозиториям. Целью этой атаки стали разработчики, ищущие инструменты для криптовалют с открытым исходным кодом, которые могут ошибочно принять преувеличенные статистические данные GitHub за индикаторы легитимных учетных записей.

Постоянные угрозы, с которыми сталкивается экосистема блокчейна

Эта атака не является единственным случаем. В марте 2025 года ResearchLabs обнаружила другие вредоносные npm ловушки, которые модифицировали легальные пакеты Ethers с помощью кода, активирующего обратный шелл. Кроме того, были обнаружены два npm пакета с вредоносным кодом: Ether-provider2 и ethers-providerZ.

Оглядываясь назад, инцидент с пакетом ultralytics на PyPI в декабре 2024 года, который был взломан для распространения вредоносного программного обеспечения для майнинга криптовалюты, а также случаи использования таких доверенных платформ, как Google Drive и GitHub Gist, для скрытия вредоносного кода, показывают разнообразие таких атак. Согласно исследованиям, в 2024 году было зафиксировано 23 инцидента с цепочкой поставок, связанных с криптовалютами, включая вредоносные программы и утечки данных.

Рекомендации по безопасности и будущее

Исследователь ReversingLabs Валентич подчеркивает, что это открытие подчеркивает быстрое развитие стратегий уклонения от обнаружения злоумышленниками, нацелившимися на проекты с открытым исходным кодом и разработчиков. Она предупреждает разработчиков о необходимости тщательно оценивать легитимность библиотек с открытым исходным кодом перед их использованием, поскольку такие показатели, как количество звезд, количество коммитов и количество поддерживающих, легко могут быть подделаны.

Несмотря на то что связанные пакеты npm были удалены, а соответствующие аккаунты GitHub закрыты, это событие выявило, что экосистема угроз программного обеспечения продолжает развиваться. Разработчики и эксперты по безопасности должны быть настороже и принимать более строгие меры проверки, чтобы противостоять этим все более сложным угрозам.