ChainDrop ja NullReceiver: Pohjois-Korean hakkerit siirtyvät uuteen sukupolveen npm-toimitusketjuhyökkäyksissä

• Haitalliset paketit sisältävät kovakoodatun Ethereum-lompakon osoitteen (kuten 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Suorituksen aikana haittaohjelma kyselee Ethereum-lohkoketjua viimeisimmistä saapuvista siirroista tälle lompakolle .
• Se lukee kohdeosoitekentän nolla-arvoisista (null-arvon) siirroista, joihin hyökkääjät ovat koodanneet aktiivisen C2-palvelimen IP-osoitteen tai verkkotunnuksen .
• Koska C2-osoite on tallennettu lohkoketjuun tavallisen kryptosiirron muodossa, se sulautuu normaaliin lohkoketjuliikenteeseen ja välttää perinteisen verkkopohjaisen tunnistuksen .

Tämä lähestymistapa antaa hyökkääjille mahdollisuuden vaihtaa C2-infrastruktuuria dynaamisesti ilman haittaohjelman päivittämistä – he tekevät uuden nolla-arvoisen Ethereum-siirron, jossa on uusi koodattu osoite .

Laajempi Ethereum-pohjainen C2-toiminta

Ennen NullReceiveriä Pohjois-Koreaan yhdistetyissä npm-paketeissa oli jo havaittu Ethereum-älysopimusten käyttöä piilotettuna C2-kerroksena haittaohjelmien toimittamiseen . Tämä kehitys osoittaa harkittua strategiaa: lohkoketjun muuttumattomuus, maailmanlaajuinen saatavuus ja rakenteellinen legitimiteetti tekevät siitä ihanteellisen joustavan C2-kanavan, jota puolustajat eivät voi helposti sulkea.

ChainDrop-mato: Itseleviäminen massassa

4. elokuuta 2026 Microsoft Threat Intelligence paljasti ChainDropin, itseleviävän npm-madon, joka on tähän mennessä aggressiivisin Pohjois-Koreaan yhdistetty ohjelmistotoimitusketjuhyökkäys .

• Mittakaava: Noin kahdessa tunnissa ChainDrop myrkytti 435 pakettia ja 1 557 versiota alkaen keyv@6.0.0-paketin komprometoinnista .
• Mekanismi: Mato käytti preinstall-skriptejä suorittaakseen hämärrettyjä hyötykuormia (esim. setup.mjs, math_init.js), jotka latasivat tunnistetietoja keräävän moduulin nimeltä Mini Shai-Hulud .
• Itseleviäminen: Suoritettuaan uhrin CI/CD-ympäristössä mato varasti npm-julkaisutunnistetiedot ja julkaisi automaattisesti haitallisia päivityksiä muihin saman kehittäjän tai organisaation omistamiin paketteihin – luoden kaskadimaisen infektioiden ketjun .
• Vaikutusten laajuus: Tartunnan saaneisiin paketteihin kuuluivat laajalti käytetyt työkalut kuten keyv, flat-cache ja cache-manager, jotka ulottuvat suurten yritysten ekosysteemeihin alavirrassa .

Tärkeä huomautus: Vaikka ajoitus ja TTP:t (kohdistaminen npm:iin, tunnistetietojen varkaus, kryptovaluuttamotivaatio) ovat erittäin johdonmukaisia Pohjois-Korean toiminnan kanssa, ChainDropia ei ole vielä virallisesti yhdistetty tiettyyn Pohjois-Korean alaryhmään samalla tavalla kuin NullReceiveriä. Microsoftin analyysi keskittyy madon tekniseen anatomiaan; attribuutio on vielä epävarma.

Mitä nämä kampanjat paljastavat Pohjois-Korean toimitusketjuhyökkäysten kehityksestä

1. Staattisista paketeista itseleviäviin matoihin

Vanhemmat Pohjois-Korean npm-kampanjat – kuten syyskuun 2025 debug, chalk ja axios -pakettien kaappaus – perustuivat ylläpitäjien tietojenkalasteluun ja lompakkoa tyhjentävän koodin työntämiseen staattisiin paketteihin . ChainDrop edustaa harppausta: se yhdistää tunnistetietojen varkauden automatisoituun uudelleenjulkaisuun, muuttaen yhden komprometin eksponentiaalisesti kasvavaksi infektion ketjuksi, joka ei vaadi lisää sosiaalista manipulointia .

2. Lohkoketju salakuljetus- ja joustavuuskerroksena

NullReceiver ja sen edeltäjät osoittavat Pohjois-Korean toimijoiden siirtymistä kovakoodatusta tai nopeasti vaihtuvasta C2:sta lohkoketjuratkaisuiseen C2:een. Ethereum-verkosta tulee globaali, sensuurinkestävä, julkisesti todennettava ilmoitustaulu, jota hyökkääjät hallitsevat rahoituksellisesti (lompakkonsa kautta) eikä infrastruktuurillisesti (verkkotunnusten tai IP-osoitteiden kautta). Tämä tekee palvelimen alasajosta lähes mahdotonta ilman itse lompakon takavarikointia .

3. Sosiaalinen manipulointi + tekoälyavusteisuus

Amazon Threat Intelligence yhdisti debug-, chalk-, axios- ja typo-crypto-komprometit Pohjois-Korean ryhmään Sapphire Sleet (tunnetaan myös nimillä BlueNoroff, Stardust Chollima ja CageyChameleon), ja mainitsi tekoälyavusteisen haittaohjelmien tuotannon ja kohdistetun sosiaalisen manipuloinnin käytön avoimen lähdekoodin ylläpitäjiä kohtaan . PromptMink-kampanja (Famous Chollima/Shifty Corsair) osoitti edelleen tekoälyllä luotuja haitallisia npm-paketteja, joita ylläpidettiin seitsemän kuukauden ajan yli 300 versiona .

4. Ekosysteemien välinen leviäminen

Shai-Hulud-kampanja (syyskuusta 2025 alkaen) kehittyi npm-madosta ekosysteemien väliseksi uhaksi, joka kohdistuu PyPI:hin ja muihin rekistereihin, osoittaen Pohjois-Korean toimijoiden panostavan monialustaiseen pysyvyyteen .

5. Taloudellinen motivaatio ensisijaisena ajurina

Kaikilla näillä kampanjoilla on yhteinen tavoite: kryptovaluuttojen varkaus. Olipa kyse sitten tunnistetietojen varastamisesta kehittäjien lompakoiden tyhjentämiseksi, CI/CD-putkien kaappaamisesta kryptovarastavan koodin lisäämiseksi tai lohkoketjun C2:n käyttämisestä pysyvän pääsyn ylläpitämiseen – loppupeli on digitaalisten varojen siirtäminen Pohjois-Korean hallinnon rahoittamiseksi .

Keskeiset havainnot

Pohjois-Korean toimijat ovat siirtyneet opportunistisesta pakettien kalastelusta kypsään, monivektoriseen toimitusketjun sodankäyntikykyyn – käyttäen Ethereum-lohkoketjua havaitsemattomaan C2:een, itse replikoituvia matoja virukseen leviämiseen ja tekoälyä tuotantonopeaan haittaohjelmien luontiin. NullReceiver- ja ChainDrop-kampanjat, jotka molemmat paljastettiin päivien sisällä toisistaan elokuun 2026 alussa, viittaavat siihen, että operatiivinen tahti ja tekninen kunnianhimo kiihtyvät.