ChainDrop und NullReceiver: Nordkoreas neueste Waffen im Cyber-Supply-Chain-Krieg
Im August 2026 enthüllten zwei zeitgleiche Kampagnen – ChainDrop und NullReceiver –, wie nordkoreanische Hacker die Ethereum Blockchain als schwer abschaltbare Command and Control Infrastruktur nutzen und mit einem se... Der ChainDrop Wurm vergiftete innerhalb von zwei Stunden 435 Pakete und 1.557 Versionen, indem e...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Im August 2026 enthüllten zwei zeitgleiche Kampagnen – ChainDrop und NullReceiver –, wie nordkoreanische Hacker die Ethereum Blockchain als schwer abschaltbare Command and Control Infrastruktur nutzen und mit einem se...
Der ChainDrop Wurm vergiftete innerhalb von zwei Stunden 435 Pakete und 1.557 Versionen, indem er npm Zugangsdaten stahl und automatisch bösartige Updates veröffentlichte.
Die als NullReceiver bezeichnete Methode versteckt die Adresse des Command and Control Servers in der Zieladresse einer wertlosen Ethereum Transaktion – ein Angriffsmuster, das traditionelle Netzwerk Erkennung umgeht.
How are North Korean threat actors using Ethereum blockchain techniques to compromise the npm ecosystem, and what do the ChainDrop worm andAI-generated illustration of DPRK-linked npm supply chain attacks using Ethereum blockchain C2 infrastructure
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: How are North Korean threat actors using Ethereum blockchain techniques to compromise the npm ecosystem, and what do the ChainDrop worm and. Article summary: North Korean threat actors are actively weaponizing the Ethereum blockchain as a resilient command-and-control (C2) layer to compromise the npm ecosystem, as demonstrated by the **NullReceiver** technique and the explosi. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts wi
openai.com
Nordkoreanische Bedrohungsakteure bewaffnen die Ethereum-Blockchain aktiv als ausfallsichere Command-and-Control(C2)-Schicht, um das npm-Ökosystem zu kompromittieren. Dies zeigen die NullReceiver-Technik und der explosive ChainDrop-Wurm – zwei Kampagnen aus dem August 2026, die einen Sprung in der operativen Raffinesse nordkoreanischer Software-Supply-Chain-Angriffe markieren.
Ethereum-Blockchain als C2-Infrastruktur
NullReceiver: C2 versteckt in Ethereum-Transaktionen ohne Wert
Die NullReceiver-Technik wurde in zwei trojanisierten npm-Paketen identifiziert – bianira-ui@1.27.0 und fluid-type-ui@2.0.8 – die sich als legitime Tailwind-CSS-Plugins tarnten und mit der breiteren, mit Nordkorea in Verbindung stehenden Contagious Interview-Kampagne verknüpft sind . Der Mechanismus funktioniert wie folgt:
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „ChainDrop und NullReceiver: Nordkoreas neueste Waffen im Cyber-Supply-Chain-Krieg“?
Im August 2026 enthüllten zwei zeitgleiche Kampagnen – ChainDrop und NullReceiver –, wie nordkoreanische Hacker die Ethereum Blockchain als schwer abschaltbare Command and Control Infrastruktur nutzen und mit einem se...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Im August 2026 enthüllten zwei zeitgleiche Kampagnen – ChainDrop und NullReceiver –, wie nordkoreanische Hacker die Ethereum Blockchain als schwer abschaltbare Command and Control Infrastruktur nutzen und mit einem se... Der ChainDrop Wurm vergiftete innerhalb von zwei Stunden 435 Pakete und 1.557 Versionen, indem er npm Zugangsdaten stahl und automatisch bösartige Updates veröffentlichte.
Was soll ich als nächstes in der Praxis tun?
Die als NullReceiver bezeichnete Methode versteckt die Adresse des Command and Control Servers in der Zieladresse einer wertlosen Ethereum Transaktion – ein Angriffsmuster, das traditionelle Netzwerk Erkennung umgeht.
Die bösartigen Pakete enthalten eine fest codierte Ethereum-Wallet-Adresse (z. B. 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
Zur Laufzeit fragt die Schadsoftware die Ethereum-Blockchain nach den letzten eingehenden Transaktionen an diese Wallet ab .
Sie liest das Zieladressenfeld von Transaktionen ohne Wert (Null-Value-Transaktionen), in dem die Angreifer die IP-Adresse oder Domain des aktiven C2-Servers codiert haben .
Da die C2-Adresse on-chain in einer gewöhnlich aussehenden Krypto-Transaktion gespeichert ist, fügt sie sich in den normalen Blockchain-Verkehr ein und umgeht die traditionelle netzwerkbasierte Erkennung .
Dieser Ansatz ermöglicht es den Angreifern, die C2-Infrastruktur dynamisch zu wechseln, ohne die Malware aktualisieren zu müssen – sie geben einfach eine neue wertlose Ethereum-Transaktion mit einer neuen codierten Adresse aus .
Die breitere C2-Handwerkskunst mit Ethereum
Bereits vor NullReceiver wurden mit Nordkorea in Verbindung stehende npm-Pakete beobachtet, die Ethereum-Smart-Contracts als versteckte C2-Schicht zur Verbreitung von Malware nutzten . Diese Entwicklung zeigt eine bewusste Strategie: Die Unveränderlichkeit, globale Verfügbarkeit und strukturelle Legitimität der Blockchain machen sie zu einem idealen, ausfallsicheren C2-Kanal, den Verteidiger nicht einfach abschalten können.
Der ChainDrop-Wurm: Selbstverbreitung in großem Stil
Am 4. August 2026 veröffentlichte Microsoft Threat Intelligence Details zu ChainDrop, einem selbstverbreitenden npm-Wurm, der bislang aggressivsten mit Nordkorea in Verbindung stehenden Software-Supply-Chain-Angriff .
Ausmaß: Innerhalb von etwa zwei Stunden vergiftete ChainDrop 435 Pakete und 1.557 Versionen, ausgehend von einer Kompromittierung des Pakets keyv@6.0.0.
Mechanismus: Der Wurm nutzte preinstall-Skripte, um verschleierte Nutzlasten (z. B. setup.mjs, math_init.js) auszuführen, die ein Modul zum Diebstahl von Anmeldedaten namens Mini Shai-Hulud herunterluden .
Selbstverbreitung: Einmal in der CI/CD-Umgebung eines Opfers ausgeführt, stahl der Wurm npm-Veröffentlichungs-Anmeldedaten und veröffentlichte automatisch bösartige Updates für andere Pakete, die demselben Entwickler oder derselben Organisation gehörten – was eine kaskadierende Infektionskette erzeugte .
Betroffener Bereich: Zu den betroffenen Paketen gehörten weit verbreitete Hilfsprogramme wie keyv, flat-cache und cache-manager, die nachgelagerte große Unternehmensökosysteme erreichen .
Wichtiger Hinweis: Obwohl der Zeitpunkt und die TTPs (Zielsetzung npm, Diebstahl von Anmeldedaten, Motivation durch Kryptowährung) stark mit nordkoreanischen Aktivitäten übereinstimmen, wurde ChainDrop noch nicht formell einer bestimmten nordkoreanischen Untergruppe zugeordnet, wie es bei NullReceiver der Fall ist. Die Analyse von Microsoft konzentriert sich auf die technische Anatomie des Wurms; die Zuordnung ist noch nicht abgeschlossen.
Was diese Kampagnen über die Entwicklung nordkoreanischer Supply-Chain-Angriffe verraten
1. Von statischen Paketen zu selbstverbreitenden Würmern
Ältere nordkoreanische npm-Kampagnen – wie die September-2025-Entführung von debug, chalk und axios – basierten auf Phishing von Maintainern und dem Einschleusen von Wallet-ausräumendem Code in statische Pakete . ChainDrop stellt einen Quantensprung dar: Es kombiniert den Diebstahl von Anmeldedaten mit automatischer Neuveröffentlichung und verwandelt eine einzelne Kompromittierung in eine exponentiell wachsende Infektionskette, die keine zusätzliche soziale Manipulation erfordert .
2. Blockchain als Tarnungs- und Resilienzschicht
NullReceiver und seine Vorgänger zeigen, dass nordkoreanische Akteure von fest codierten oder Fast-Flux-C2 zu Blockchain-aufgelöstem C2 übergehen. Das Ethereum-Netzwerk wird zu einem globalen, zensurresistenten, öffentlich einsehbaren schwarzen Brett, das die Angreifer finanziell (über ihre Wallet) und nicht infrastrukturell (über Domains oder IPs) kontrollieren. Dies macht eine Abschaltung nahezu unmöglich, ohne die Wallet selbst zu beschlagnahmen .
3. Soziale Manipulation + KI-Unterstützung
Amazon Threat Intelligence brachte die Kompromittierungen von debug, chalk, axios und typo-crypto mit der nordkoreanischen Gruppe Sapphire Sleet (auch bekannt als BlueNoroff, Stardust Chollima und CageyChameleon) in Verbindung und wies auf den Einsatz KI-gestützter Malware-Generierung und gezielter sozialer Manipulation von Open-Source-Maintainern hin . Die PromptMink-Kampagne (Famous Chollima/Shifty Corsair) demonstrierte darüber hinaus KI-generierte bösartige npm-Pakete, die über sieben Monate in mehr als 300 Versionen aufrechterhalten wurden .
4. Ökosystemübergreifendes Überschwappen
Die Shai-Hulud-Kampagne (ab September 2025) entwickelte sich von einem npm-Wurm zu einer ökosystemübergreifenden Bedrohung, die auf PyPI und andere Registrierungen abzielte und zeigt, dass nordkoreanische Akteure in plattformübergreifende Persistenz investieren .
5. Finanzielle Motivation als Haupttreiber
Allen diesen Kampagnen ist ein gemeinsames Ziel gemeinsam: der Diebstahl von Kryptowährungen. Ob es darum geht, Anmeldedaten zu stehlen, um Entwickler-Wallets zu leeren, CI/CD-Pipelines zu kapern, um Krypto-Diebstahl-Code einzuschleusen, oder Blockchain-C2 zu nutzen, um dauerhaften Zugriff aufrechtzuerhalten – das Endspiel bleibt das Abziehen digitaler Vermögenswerte zur Finanzierung des nordkoreanischen Regimes .
Wichtigste Erkenntnisse
Kampagne
Technik
Innovation
NullReceiver (Aug. 2026)
C2-Adresse codiert im to-Feld einer wertlosen Ethereum-Transaktion
Blockchain-aufgelöstes C2; fügt sich in normalen Verkehr ein; kein Abschaltrisiko
ChainDrop (4. Aug. 2026)
Selbstverbreitender Wurm, der gestohlene npm-Anmeldedaten nutzt; 435 Pakete in 2 Stunden
Erster bekannter nordkoreanischer Wurm in npm; automatisierte laterale Ausbreitung via CI/CD
Sapphire-Sleet-Kampagnen (2025–2026)
Gephishtere Maintainer von debug, chalk, axios; KI-generierte Malware
Erstmalige Zuordnung von 4 großen Sicherheitsverletzungen zu einer einzelnen nordkoreanischen Untergruppe
Contagious Interview (2024–2026)
Gefälschte Vorstellungsgespräche, die auf Entwickler abzielen; 1.700+ bösartige Pakete in npm, Go, Rust, PHP
Nordkoreanische Bedrohungsakteure sind von opportunistischem Paket-Squatting zu einer ausgereiften, mehrgleisigen Supply-Chain-Kampffähigkeit übergegangen – sie nutzen Ethereums Blockchain für unentdeckbares C2, selbstreplizierende Würmer für virale Verbreitung und KI für malware-Generierung in Produktionsgeschwindigkeit. Die NullReceiver- und ChainDrop-Kampagnen, die beide innerhalb weniger Tage Anfang August 2026 aufgedeckt wurden, deuten darauf hin, dass das operative Tempo und der technische Ehrgeiz weiter zunehmen.
Hinweis: Die oben genannten Quellen sind im Original auf Englisch verfügbar. Eine deutsche Übersetzung liegt nicht vor; die Zitate wurden für diesen Artikel sinngemäß übersetzt.
North Korean Hackers Are Hiding Malware Servers Inside ...
mallory.aiDPRK-Linked npm Packages Used NullReceiver Ethereum ...
opensourcemalware.comNullReceiver's Blank Crypto Transfers Solves ...
gbhackers.comNullReceiver Is Harder to Discover but Still Exposes a Reusable Attacker Wallet
cyberpress.orgDPRK NullReceiver Malware Hides C2 IPs in Zero-Value Ethereum Transactions
cybersecuritynews.com
