ChainDrop a NullReceiver: Jak severokorejští hackeři zneužívají Ethereum k ničivým útokům na npm

• Škodlivé balíčky obsahují pevně zakódovanou adresu Ethereum peněženky (například 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Za běhu malware dotazuje blockchain Ethereum na nejnovější příchozí transakce na tuto peněženku .
• Načítá cílovou adresu transakcí s nulovou hodnotou, kde útočníci zakódovali IP adresu nebo doménu živého C2 serveru .
• Jelikož je adresa C2 uložena v řetězci v podobě běžně vypadajícího převodu kryptoměn, splývá s normálním provozem a uniká tradiční detekci založené na síti .

Tento přístup umožňuje útočníkům dynamicky měnit C2 infrastrukturu bez aktualizace malwaru – stačí provést novou Ethereum transakci s nulovou hodnotou a novou zakódovanou adresou .

Širší řemeslné zpracování C2 s využitím Etherea

Již před NullReceiver bylo pozorováno, že severokorejské npm balíčky používají Ethereum chytré kontrakty jako skrytou C2 vrstvu k doručování malwaru . Tento vývoj ukazuje záměrnou strategii: neměnnost, globální dostupnost a strukturální legitimita blockchainu z něj činí ideální odolný C2 kanál, který obránci jen těžko dokážou zlikvidovat.

Červ ChainDrop: Samopropagace v masivním měřítku

Dne 4. srpna 2026 zveřejnila společnost Microsoft Threat Intelligence informace o ChainDropu, samopropagujícím se npm červovi, který je dosud nejagresivnějším severokorejským útokem na dodavatelský řetězec softwaru .

• Rozsah: Během přibližně dvou hodin ChainDrop infikoval 435 balíčků a 1557 verzí, přičemž útok začal kompromitací balíčku keyv@6.0.0 .
• Mechanismus: Červ používal preinstall skripty ke spouštění obfuskovaných payloadů (např. setup.mjs, math_init.js), které stahovaly modul pro krádež přihlašovacích údajů nazvaný Mini Shai-Hulud .
• Samopropagace: Jakmile byl spuštěn v prostředí CI/CD oběti, červ ukradl přihlašovací údaje pro publikování na npm a automaticky publikoval škodlivé aktualizace do dalších balíčků vlastněných stejným vývojářem nebo organizací – čímž vytvořil kaskádový řetězec infekce .
• Dopad: Mezi postižené balíčky patřily široce používané nástroje jako keyv, flat-cache a cache-manager, které sahají až do velkých podnikových ekosystémů .

Důležité upozornění: I když načasování a TTP (zaměření na npm, krádež přihlašovacích údajů, motivace kryptoměnami) vysoce odpovídají aktivitě Severní Koreje, ChainDrop dosud nebyl formálně připsán konkrétní severokorejské podskupině, jako je tomu u NullReceiver. Analýza Microsoftu se zaměřuje na technickou anatomii červa; atribuce se teprve vyvíjí.

Co tyto kampaně odhalují o vývoji severokorejských útoků na dodavatelský řetězec

1. Od statických balíčků k samopropagujícím se červům

Starší severokorejské npm kampaně – jako zářijový únos z roku 2025 balíčků debug, chalk a axios – spoléhaly na phishing správců a vkládání kódu pro vybírání peněženek do statických balíčků . ChainDrop představuje zásadní změnu: kombinuje krádež přihlašovacích údajů s automatizovaným publikováním, čímž mění jedinou kompromitaci v exponenciálně rostoucí řetězec infekce, který nevyžaduje žádný další sociální inženýring .

2. Blockchain jako vrstva pro utajení a odolnost

NullReceiver a jeho předchůdci ukazují, jak se severokorejští aktéři přesouvají od pevně zakódovaných nebo rychle se měnících C2 k blockchainem řešenému C2. Síť Ethereum se stává globální, cenzuře odolnou, veřejně ověřitelnou nástěnkou, kterou útočníci ovládají finančně (prostřednictvím své peněženky) spíše než infrastrukturálně (prostřednictvím domén nebo IP adres). To znemožňuje likvidaci bez zabavení samotné peněženky .

3. Sociální inženýring + pomoc AI

Amazon Threat Intelligence spojil kompromitace balíčků debug, chalk, axios a typo-crypto se severokorejskou skupinou Sapphire Sleet (známou také jako BlueNoroff, Stardust Chollima a CageyChameleon), přičemž zaznamenal použití AI-asistované generace malwaru a cílený sociální inženýring správců open-source projektů . Kampaň PromptMink (Famous Chollima/Shifty Corsair) dále demonstrovala AI-generované škodlivé npm balíčky, které byly udržovány po sedm měsíců ve více než 300 verzích .

4. Přesah mezi ekosystémy

Kampaň Shai-Hulud (od září 2025) se vyvinula z npm červa v hrozbu přesahující ekosystémy, která se zaměřuje na PyPI a další registry, což ukazuje, že severokorejští aktéři investují do perzistence napříč platformami .

5. Finanční motivace jako primární hybatel

Všechny tyto kampaně sdílejí společný cíl: krádež kryptoměn. Ať už jde o krádež přihlašovacích údajů k vyprázdnění vývojářských peněženek, únos CI/CD pipeline k injektáži krádežního kódu, nebo použití blockchain C2 k udržení trvalého přístupu – konečným cílem zůstává odčerpávání digitálních aktiv na financování severokorejského režimu .

Klíčové poznatky

Severokorejští aktéři hrozeb přešli od oportunistického squatování balíčků k vyzrálé, vícevektorové schopnosti vedení války v dodavatelském řetězci – používají blockchain Ethereum pro nezjistitelné C2, samoreplikující se červy pro virové šíření a AI pro generování malwaru v produkční rychlosti. Kampaně NullReceiver a ChainDrop, které byly odhaleny během několika dnů od sebe na začátku srpna 2026, naznačují, že operační tempo a technické ambice se zrychlují.