ChainDrop og NullReceiver: Nordkoreanske hackere bevæbner Ethereum for at angribe npm-økosystemet

• De ondsindede pakker indeholder en hardcoded Ethereum-wallet-adresse (såsom 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Ved kørsel forespørger malwaren Ethereum blockchain efter de seneste indgående transaktioner til den pågældende wallet .
• Den læser destinationsadresse-feltet i nul-værdi (null-value) transaktioner, hvor angriberne har indkodet IP-adressen eller domænet for den levende C2-server .
• Fordi C2-adressen er gemt on-chain i en almindelig kryptooverførsel, smelter den ind i normal blockchain-trafik og undgår traditionel netværksbaseret detektion .

Denne tilgang gør det muligt for angribere at rotere C2-infrastruktur dynamisk uden at opdatere malwaren – de udsteder blot en ny nul-værdi Ethereum-transaktion med en ny indkodet adresse .

Bredere Ethereum-baseret C2-metodik

Før NullReceiver havde DPRK-forbundne npm-pakker allerede været observeret i at bruge Ethereum-smartkontrakter som et skjult C2-lag til at levere malware . Udviklingen viser en bevidst strategi: blockchainens uforanderlighed, globale tilgængelighed og strukturelle legitimitet gør den til en ideel modstandsdygtig C2-kanal, som forsvarere ikke let kan tage ned.

ChainDrop-ormen: Selvspredning i stor skala

Den 4. august 2026 afslørede Microsoft Threat Intelligence ChainDrop, en selvspredende npm-orm, der er det mest aggressive DPRK-forbundne softwareforsyningskædeangreb til dato .

• Omfang: På cirka to timer forgiftede ChainDrop 435 pakker og 1.557 versioner, startende med et kompromis af pakken keyv@6.0.0 .
• Mekanisme: Ormen brugte preinstall-scripts til at udføre obfuskerede nyttelaster (f.eks. setup.mjs, math_init.js), der downloadede et legitimationsopsamlingsmodul kaldet Mini Shai-Hulud .
• Selvspredning: Når den blev udført på et offers CI/CD-miljø, stjal ormen npm-publiceringslegitimationsoplysninger og genudgav automatisk ondsindede opdateringer til andre pakker ejet af samme udvikler eller organisation – hvilket skabte en kaskaderende infektiøs kæde .
• Påvirkningsomfang: Berørte pakker inkluderede meget brugte værktøjer som keyv, flat-cache og cache-manager, hvilket nåede store virksomhedsøkosystemer downstream .

Vigtig bemærkning: Selvom timingen og TTP'erne (målretning af npm, tyveri af legitimationsoplysninger, cryptocurrency-motivation) er meget konsistente med DPRK-aktivitet, er ChainDrop endnu ikke formelt tilskrevet en specifik DPRK-undergruppe på samme måde som NullReceiver. Microsofts analyse fokuserer på ormens tekniske anatomi; tilskrivning er stadig under udvikling.

Hvad disse kampagner afslører om udviklingen af DPRK's forsyningskædeangreb

1. Fra statiske pakker til selvspredende orme

Ældre DPRK npm-kampagner – såsom september 2025-kapringen af debug, chalk og axios – stolede på phishing af vedligeholdere og pushning af wallet-drænende kode i statiske pakker . ChainDrop repræsenterer et kvantespring: den kombinerer tyveri af legitimationsoplysninger med automatiseret genudgivelse og forvandler et enkelt kompromis til en eksponentielt voksende infektiøs kæde, der ikke kræver yderligere social engineering .

2. Blockchain som et stealth- og modstandsdygtighedslag

NullReceiver og dens forgængere viser DPRK-aktører, der bevæger sig fra hardcoded eller fast-flux C2 til blockchain-opløst C2. Ethereum-netværket bliver en global, censurresistent, offentligt verificerbar opslagstavle, som angribere kontrollerer finansielt (via deres wallet) snarere end infrastrukturelt (via domæner eller IP'er). Dette gør nedtagning næsten umulig uden at beslaglægge selve wallet'en .

3. Social engineering + AI-assistance

Amazon Threat Intelligence kædede kompromitteringerne af debug, chalk, axios og typo-crypto til den DPRK-forbundne gruppe Sapphire Sleet (også kendt som BlueNoroff, Stardust Chollima og CageyChameleon) og bemærkede brugen af AI-assisteret malwaregenerering og målrettet social engineering af open source-vedligeholdere . PromptMink-kampagnen (Famous Chollima/Shifty Corsair) demonstrerede yderligere AI-genererede ondsindede npm-pakker opretholdt over syv måneder på tværs af 300+ versioner .

4. Spredning på tværs af økosystemer

Shai-Hulud-kampagnen (september 2025 og frem) udviklede sig fra en npm-orm til en trussel på tværs af økosystemer, der målrettede PyPI og andre registre, hvilket viser, at DPRK-aktører investerer i multi-platform-persistens .

5. Finansiel motivation som primær drivkraft

Alle disse kampagner deler et fælles mål: cryptocurrency-tyveri. Uanset om det er at stjæle legitimationsoplysninger for at dræne udvikler-wallets, kapre CI/CD-pipelines for at injicere krypto-stjælende kode eller bruge blockchain-C2 til at opretholde vedvarende adgang – slutspillet forbliver at sifonere digitale aktiver for at finansiere DPRK-regimet .

Hovedpointer

DPRK-trusselsaktører har flyttet sig fra opportunistisk pakkesquatting til en moden, multi-vektor forsyningskædekrigsførelseskapacitet – ved at bruge Ethereums blockchain til uopdagelig C2, selvreplikerende orme til viral spredning og AI til produktionshastigheds-malwaregenerering. NullReceiver- og ChainDrop-kampagnerne, begge offentliggjort inden for dage af hinanden i begyndelsen af august 2026, antyder, at det operationelle tempo og den tekniske ambition accelererer.