Изследователи по киберсигурност сигнализираха за еволюция в базираната на блокчейн техника за командване и управление (C2) „EtherHiding“, която скрива IP адреса на C2 сървъра в измислен адрес на получател на напълно празен Ethereum трансфер.

Новият подход за разрешаване на адреси тип „dead drop resolver“, наблюдаван в два троянизирани npm пакета – „bianira-ui“ и „fluid-type-ui“, е наречен с кодовото име NullReceiver от OpenSourceMalware, които го описват като „съзнателно подобрение на EtherHiding“. Активността е свързана с Северна Корея.

Пакетите в момента вече не са достъпни за изтегляне от npm. Въпреки това статистиката показва, че те са били изтеглени няколкостотин пъти, откакто са публикувани за първи път на 28 юли 2026 г.:

  • bianira-ui (109 изтегляния), качен от npm потребител с име „npmuser1101“
  • fluid-type-ui (587 изтегляния), качен от npm потребител с име „npmuser3002“

Техниката „EtherHiding“ беше документирана публично за първи път от Guardio Labs през октомври 2023 г. като скрит подход, който включва вграждане на зловреден код в смарт контракт в публичен блокчейн като BNB Smart Chain (BSC) или Ethereum. Техниката възвести „следващото ниво на брониран хостинг“, тъй като подобрява оперативната устойчивост срещу спиране от доставчиците.

Използването на „EtherHiding“ от севернокорейски хакерски групи беше детайлизирано от Google Threat Intelligence Group (GTIG) в края на миналата година във връзка с „Contagious Interview“ – дългогодишна кампания, целяща да измами потенциални мишени, като се свързва с тях в LinkedIn с примамливи предложения за работа и иска от тях да завършат тестово задание, което води до внедряване на зловреден софтуер.

Последното развитие показва, че атакуващите допълнително усъвършенстват своите тактики и затрудняват откриването им от защитниците.

„Вместо твърдо кодиране на C2 адрес или скриването му в данните за повикване (calldata) на трансакцията (както е при EtherHiding), NullReceiver кодира C2 IP адреса директно в байтовете на адреса на получателя на Ethereum трансфер с нулева стойност и без данни“, споделя изследователят по сигурността Пол Маккарти.

„Зловредният софтуер проверява портфейла на атакуващия, чете адреса на получателя на последната му изходяща трансакция и декодира C2 IP адреса директно от тези адресни байтове, без намесата на смарт контракт или поле за зловреден код.“

Чрез вграждането на IP адреса на C2 сървъра по този начин, NullReceiver се стреми да отстрани един от основните недостатъци на EtherHiding, който изисква фиксиран, публично известен адрес на получател – такъв, който може да бъде проследен от защитниците, когато се извършват нови трансакции, съдържащи зловредния код, IP адреса на C2 сървъра или зловредния скрипт срещу такса за газ (gas fee).

За разлика от това, NullReceiver предоставя несъществуващ адрес на получател. Адресът „съществува“ само за да осигури начин за кодиране на C2 IP адреса в самия него. Това от своя страна затруднява атрибуцията (приписването на авторство), тъй като елиминира „фиксирания, наблюдаем получател“.

Нито един от новооткритите npm пакети, идентифицирани като част от новата кампания (bianira-ui и fluid-type-ui), не извиква смарт контракт и не вгражда съдържание в полето за трансакционни данни (calldata). Вместо това JavaScript библиотеките използват новата техника, за да извлекат IP адреса и да се свържат с него. Цялата последователност от действия на компрометираната машина е следната:

  • Търсене на твърдо кодиран портфейл на атакуващия („0xa322e5f3d311d3080e6f0121063e9adc2490ef1a“)
  • Намиране на последната му изходяща трансакция
  • Прочитане на адреса на получателя на тази трансакция
  • Декодиране на C2 IP адрес директно от байтовете на адреса чрез преобразуване на първите четири байта от шестнадесетичното им представяне в техния числов еквивалент
  • Свързване с този IP адрес („166.88.134[.]62“)

Анализът на трансакциите на портфейла показва, че адресът на получателя („To“) за всяка от тях е един и същ: „0xa658863ea658863e68656c6c6f6970626f742121“. Докато „a658863e“ се превръща в „166.88.134[.]62“, останалите байтове „68656c6c6f6970626f742121“ представляват ASCII низа „helloipbot!!“.

Към момента на изготвяне на доклада са извършени общо 68 трансакции от 27 юли 2026 г. насам – ден преди пакетите да бъдат публикувани.

Това, което прави NullReceiver по-коварен, е липсата на фиксирана цел и на отпечатък (fingerprint), да не говорим за факта, че трансакциите са по-евтини от преди. Ключова разлика между двете техники е, че докато EtherHiding позволява пренасянето на пълен URL адрес или скрипт, NullReceiver може да кодира само няколко байта.

„NullReceiver никога не използва повторно един и същ адрес на получател“, споделят от OpenSourceMalware. „Всяко търсене е на съвсем нов, еднократен адрес, който не е виждан преди. Трансакцията на NullReceiver не носи нищо допълнително. Няма поле, по което да се направи отпечатък, защото такова поле просто липсва.“

„Преносът на данни в calldata струва газ за всеки байт. EtherHiding плаща за това. Трансферът на NullReceiver е напълно празен, което го прави най-евтиния и най-малко забележим тип трансакция в мрежата.“