Хакери знайшли новий спосіб маскувати шкідливе ПЗ в смарт-контрактах Ethereum

Фахівці з кібербезпеки виявили новий спосіб, яким зловмисники обходять системи захисту — вони використовують смартконтракти Ethereum для приховування шкідливих команд і посилань.

Що сталося

Компанія ReversingLabs повідомила про два пакети в репозиторії Node Package Manager (NPM) — colortoolsv2 та mimelib2. Вони були опубліковані в липні та містили прихований механізм для завантаження шкідливого програмного забезпечення.

На перший погляд пакети виглядали як звичайні інструменти для роботи з JavaScript. Насправді ж вони зверталися до Ethereum-блокчейна, звідки отримували адреси серверів керування, що дозволяло завантажити другу стадію шкідливого коду.

Чому це небезпечно

Трафік до блокчейна виглядає легітимно, тому виявити атаку значно складніше. Замість того щоб напряму розміщувати шкідливі посилання в коді, зловмисники «зашили» їх у смартконтракти. Це дозволяє обходити перевірки безпеки, які сканують відкриті репозиторії.

За словами дослідниці ReversingLabs Лучії Валентич, такий підхід ще не зустрічався раніше. Він демонструє, наскільки швидко хакери вдосконалюють методи ухилення від виявлення.

Соціальна інженерія та ширша кампанія

Використання шкідливих пакетів було лише частиною більшої шахрайської операції. Хакери створювали підроблені репозиторії на GitHub, які імітували серйозні проєкти з криптотрейдингу. Для правдоподібності вони додавали фіктивні коміти, створювали кілька акаунтів «розробників» та оформлювали документацію на професійному рівні.

Не лише Ethereum

Подібні атаки вже торкалися й інших блокчейнів. У квітні було виявлено підроблений репозиторій «Solana trading bot», що поширював шкідливе ПЗ для крадіжки криптогаманців. Також фіксувалися випадки компрометації бібліотек для роботи з Bitcoin.

2024 рік вже приніс понад два десятки атак на відкриті сховища коду, пов’язані з криптовалютами. Останні випадки показують: зловмисники поєднують технічні інновації блокчейну з витонченою соціальною інженерією. Це створює нові виклики як для розробників, так і для систем захисту.