Ethereum akıllı sözleşmeler Hacker'ların kötü amaçlı yazılımları gizleme yeni bir yetiştirme ortamı haline geldi.

Son zamanlarda, ReversingLabs araştırma ekibi endişe verici bir keşfi ortaya çıkardı: Hacker'lar Ethereum akıllı sözleşmelerini kullanarak kötü amaçlı yazılımın URL'lerini gizlemekte oldukça ustalaştılar. Bu araştırma, saldırganların npm yazılım tuzağı colortoolv2 ve mimelib2'yi indirme aracı olarak kullandığını ve kurulum tamamlandıktan sonra Ethereum akıllı sözleşmelerini sorgulayarak ikinci aşama kötü amaçlı yazılımın komut ve kontrol (C2) altyapı bilgilerini elde ettiklerini gösteriyor.

ReversingLabs araştırmacısı Lucija Valentic, bu saldırı yönteminin son derece yaratıcı ve eşi benzeri görülmemiş olduğunu, geleneksel tarama mekanizmalarını başarıyla atlattığını, bu mekanizmaların genellikle yazılım tuzak scriptlerindeki şüpheli URL'leri işaretlediğini belirtti.

Kötü amaçlı yazılım, blok zincirinde ustaca gizlenmiştir

Hackerlar, Ethereum akıllı sözleşmelerinin özelliklerini kullanarak kötü niyetli kodu sıradan görünen index.js dosyasına gizliyor. Çalıştırıldığında, bu dosya C2 sunucusunun ayrıntılarını almak için blok zincirine erişiyor. ReversingLabs'ın araştırması, bu blok zinciri barındırma yönteminin, kaçış stratejilerinin yeni bir aşamaya girdiğini gösterdiğini belirtiyor.

Araştırmacılar GitHub'da kapsamlı bir tarama yaptı ve bu npm tuzaklarının Solana-trading-bot-v2 ve Hyperliquid-trading-bot-v2 gibi kripto para robotları olarak gizlendiğini keşfetti. Bu depolar profesyonel araçlar gibi görünmekte, çok sayıda gönderim, konteyner ve yıldız barındırmakta, ancak aslında hepsi sahte.

Hacker'ın titiz kamuflajı ve sürekli evrimi

Araştırmalar, kod havuzunu gönderen veya kopyalayan hesapların Temmuz ayında oluşturulduğunu ve herhangi bir kodlama etkinliği göstermediğini ortaya koydu. Çoğu hesap, kod havuzlarında README dosyalarını gömülü olarak barındırıyor. Gönderim sayısı, otomatik programlar tarafından insanların oluşturduğu şekilde abartılı kodlama etkinliğini göstermek amacıyla üretilmiştir. Örneğin, kaydedilen çoğu gönderim yalnızca lisans dosyası değişiklikleridir, gerçek bir güncelleme değil.

Araştırmacılar, bir kez tespit edildiklerinde, Hacker'ın bağımlılıkları hızla farklı hesaplara geçirdiğini keşfettiler. colortoolsv2 tespit edildikten sonra, mimelibv2 kullanmaya yöneldiler, ardından mw3ha31q ve cnaovalles'e geçiş yaptılar; bu davranışlar, gönderim sayısında bir artışa ve kötü niyetli bağımlılıkların eklenmesine yol açtı.

ReversingLabs, bu etkinliği Stargazer'ın Ghost Network'u ile ilişkilendiriyor; bu, kötü niyetli depoların güvenilirliğini artırmayı amaçlayan bir hesap koordinasyon sistemidir. Bu saldırının hedefi, abartılı GitHub istatistiklerini meşru hesapların göstergesi olarak yanlış tanıyabilecek açık kaynaklı kripto para araçlarını arayan geliştiricilerdir.

Blockchain ekosisteminin karşılaştığı sürekli tehditler

Bu sefer keşfedilen saldırı bir istisna değil. Mart 2025'te, ResearchLabs başka kötü amaçlı npm tuzakları keşfetti; bu tuzaklar, geçerli Ethers paketlerini ters shell'i etkinleştiren kodlarla değiştirdi. Ayrıca, kötü amaçlı kod içeren Ether-provider2 ve ethers-providerZ adlı iki npm paketi daha bulundu.

Geçmişe baktığımızda, 2024 Aralık ayında PyPI'nin ultralytics tuzağının, kripto para madenciliği kötü amaçlı yazılımlarını yaymak için sızdırıldığı olaylar ve Google Drive ile GitHub Gist gibi güvenilir platformların kötü amaçlı kodları gizlemek için kullanıldığı durumlar, bu tür saldırıların çeşitliliğini göstermektedir. Araştırmalara göre, 2024 yılında kripto ile ilgili 23 tedarik zinciri olayı kaydedildi ve bu olaylar kötü amaçlı yazılımlar ve veri sızıntıları gibi sorunları içeriyordu.

Güvenlik Önerileri ve Gelecek Görünümü

ReversingLabs araştırmacısı Valentic, bu bulgunun kötü niyetli saldırganların açık kaynak projeleri ve geliştiricileri hedef alma stratejilerinin hızla evrildiğini vurguladığını belirtti. Geliştiricileri, açık kaynak kütüphanelerini benimsemeden önce geçerliliğini dikkatlice değerlendirmeleri konusunda uyardı, çünkü yıldız sayısı, gönderim sayısı ve bakımcı sayısı gibi göstergelerin kolayca manipüle edilebileceğini ifade etti.

İlgili npm tuzak paketleri kaldırılmış ve ilgili GitHub hesapları kapatılmış olsa da, bu olay yazılım tehdit ekosisteminin sürekli evrildiğini ortaya koyuyor. Geliştiriciler ve güvenlik uzmanları, bu giderek karmaşıklaşan tehditlere karşı daha sıkı doğrulama önlemleri almak için dikkatli olmalıdır.