NullReceiver sakriva C2 IP adresu u praznim Ethereum transferima
Istraživači su u trojanizovanim npm paketima bianira-ui i fluid-type-ui otkrili tehniku NullReceiver, koja komandno-kontrolnu IP adresu izvlači iz odredišne adrese Ethereum transfera bez vrednosti i bez podataka. Paketi su, pre uklanjanja sa npm-a, zabeležili 109, odnosno 587 preuzimanja, a aktivnost je povezana sa Severnom Korejom.
IP adresa skrivena u odredištu transakcije
OpenSourceMalware je novi pristup opisao kao namerno unapređenje EtherHidinga. Umesto da se C2 adresa upiše direktno u kod ili sakrije u calldata polju transakcije, NullReceiver koristi bajtove izmišljene Ethereum odredišne adrese.
JavaScript biblioteke sadrže adresu novčanika napadača 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a. Zatim pronalaze njegovu najnoviju odlaznu transakciju, čitaju polje odredišta i prva četiri bajta iz heksadecimalnog zapisa pretvaraju u brojčani oblik IP adrese.
U analiziranom slučaju odredište je bilo 0xa658863ea658863e68656c6c6f6970626f742121. Niz a658863e daje adresu 166.88.134[.]62, dok završni bajtovi predstavljaju ASCII tekst helloipbot!!. Od 27. jula 2026. zabeleženo je 68 takvih transakcija, a paketi su objavljeni dan kasnije.
Zašto je pristup teže pratiti
EtherHiding je Guardio Labs javno dokumentovao u oktobru 2023. godine kao tehniku skrivanja zlonamernog koda u pametnim ugovorima na mrežama BNB Smart Chain ili Ethereum. Google Threat Intelligence Group ga je povezao sa kampanjom Contagious Interview, u kojoj se mete na LinkedInu navode na navodne poslovne procene koje završavaju instalacijom malvera.
NullReceiver ne poziva pametni ugovor i ne popunjava calldata. Za razliku od EtherHidinga, koji može preneti čitav URL ili skriptu, ovaj postupak kodira samo nekoliko bajtova. Njegova prednost za napadača je što odredišna adresa nije stalna i prepoznatljiva tačka nadzora, a prazna transakcija ne nosi dodatno polje za izdvajanje karakterističnog obrasca.
Ovakav obrazac se uklapa u širi problem zloupotrebe poverenja u razvojnom lancu, koji opisuje i zloupotrebu poverenja u razvojnom lancu kao važan bezbednosni rizik za organizacije.
Praktične mere za razvojne timove
Timovi treba da proveravaju poreklo, održavanje i ponašanje novih zavisnosti pre njihovog uključivanja u projekte. Posebnu pažnju zaslužuju paketi sa malim brojem preuzimanja, novim nalozima objavljivača i kodom koji pristupa blockchain podacima bez jasne funkcionalne potrebe.
Nadzor odlaznih mrežnih veza i analiza ponašanja biblioteka ostaju važni, jer sama potraga za unapred poznatim C2 domenima ili stalnim blockchain odredištima ovde nije dovoljna. Poslovni zaključak je da kontrola softverskog lanca mora obuhvatiti i stvarno ponašanje zavisnosti nakon instalacije.