ChainDrop en NullReceiver: Noord-Korea zet Ethereum in voor aanvallen op npm

• De kwaadaardige pakketten bevatten een vast Ethereum-walletadres (bijvoorbeeld 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Tijdens het opstarten raadpleegt de malware de Ethereum-blockchain voor de meest recente inkomende transacties naar die wallet .
• Het leest het bestemmingsadresveld van nulwaardige transacties, waarin de aanvallers het IP-adres of domein van de actieve C2-server hebben gecodeerd .
• Omdat het C2-adres on-chain in een gewone crypto-overboeking is opgeslagen, gaat het op in het normale blockchainverkeer en ontwijkt het traditionele netwerkdetectie .

Deze aanpak stelt aanvallers in staat om hun C2-infrastructuur dynamisch te wisselen zonder de malware bij te werken – ze doen gewoon een nieuwe nulwaardige Ethereum-transactie met een nieuw gecodeerd adres .

Eerdere Ethereum-C2-technieken

Al vóór NullReceiver werden aan Noord-Korea gelinkte npm-pakketten gebruikt met Ethereum-smartcontracts als verborgen C2-laag om malware te leveren . De progressie laat een bewuste strategie zien: de onveranderlijkheid, wereldwijde beschikbaarheid en structurele legitimiteit van de blockchain maken het een ideaal, veerkrachtig C2-kanaal dat verdedigers niet eenvoudig kunnen uitschakelen.

De ChainDrop-worm: zelfpropagatie op grote schaal

Op 4 augustus 2026 maakte Microsoft Threat Intelligence ChainDrop bekend, een zelfverspreidende npm-worm die de meest agressieve, aan Noord-Korea gelinkte software supply chain-aanval tot nu toe blijft .

• Omvang: In ongeveer twee uur tijd vergiftigde ChainDrop 435 pakketten en 1.557 versies, te beginnen met een compromittering van het keyv@6.0.0-pakket .
• Mechanisme: De worm gebruikte preinstall-scripts om verduisterde payloads uit te voeren (zoals setup.mjs, math_init.js) die een module voor het stelen van inloggegevens downloadden, genaamd Mini Shai-Hulud .
• Zelfpropagatie: Eenmaal uitgevoerd in een CI/CD-omgeving van een slachtoffer, stol de worm npm-publicatiegegevens en publiceerde automatisch kwaadaardige updates naar andere pakketten van dezelfde ontwikkelaar of organisatie – wat een cascade van infecties veroorzaakte .
• Impact: Getroffen pakketten zijn onder meer de veelgebruikte bibliotheken keyv, flat-cache en cache-manager, die grote enterprise-ecosystemen stroomafwaarts bereiken .

Belangrijk voorbehoud: Hoewel de timing en TTP's (gericht op npm, diefstal van inloggegevens, cryptocurrency-motivatie) sterk overeenkomen met Noord-Koreaanse activiteit, is ChainDrop nog niet formeel toegeschreven aan een specifieke Noord-Koreaanse subgroep zoals NullReceiver dat wel is. Microsofts analyse richt zich op de technische anatomie van de worm; de toeschrijving is nog in ontwikkeling.

Wat deze campagnes onthullen over de evolutie van Noord-Koreaanse supply chain-aanvallen

1. Van statische pakketten naar zelfverspreidende wormen

Oudere Noord-Koreaanse npm-campagnes – zoals de kaping van debug, chalk en axios in september 2025 – waren gebaseerd op het phishing van beheerders en het plaatsen van portemonnee-leegzuigende code in statische pakketten . ChainDrop is een stap verder: het combineert diefstal van inloggegevens met geautomatiseerd herpubliceren, waardoor een enkele compromittering uitgroeit tot een zich exponentieel verspreidende infectieketen die geen extra sociale manipulatie nodig heeft .

2. Blockchain als stealth- en veerkrachtlaag

NullReceiver en zijn voorgangers laten zien dat Noord-Koreaanse actoren overstappen van vaste of snel-wisselende C2 naar blockchain-opgeloste C2. Het Ethereum-netwerk wordt een wereldwijd, censuurresistent, openbaar prikbord dat aanvallers financieel (via hun wallet) controleren in plaats van infrastructureel (via domeinen of IP's). Dit maakt uitschakeling bijna onmogelijk zonder de wallet zelf in beslag te nemen .

3. Sociale manipulatie + AI-ondersteuning

Amazon Threat Intelligence koppelde de compromitteringen van debug, chalk, axios en typo-crypto aan de aan Noord-Korea gelieerde groep Sapphire Sleet (ook bekend als BlueNoroff, Stardust Chollima en CageyChameleon), en wees op het gebruik van AI-ondersteunde malwaregeneratie en gerichte sociale manipulatie van open-source-onderhouders . De PromptMink-campagne (Famous Chollima/Shifty Corsair) toonde verder AI-gegenereerde kwaadaardige npm-pakketten die zeven maanden lang werden volgehouden in meer dan 300 versies .

4. Overloop naar andere ecosystemen

De Shai-Hulud-campagne (vanaf september 2025) evolueerde van een npm-worm naar een bedreiging die meerdere ecosystemen bestrijkt, gericht op PyPI en andere registers. Dit laat zien dat Noord-Koreaanse actoren investeren in persistentie op meerdere platformen .

5. Financiële motivatie als belangrijkste drijfveer

Al deze campagnes delen een gemeenschappelijk doel: diefstal van cryptocurrency. Of het nu gaat om het stelen van inloggegevens om ontwikkelingsportefeuilles leeg te halen, het kapen van CI/CD-pijplijnen om crypto-stelende code te injecteren, of het gebruiken van blockchain-C2 om persistente toegang te behouden – het eindspel blijft het wegsluizen van digitale activa om het Noord-Koreaanse regime te financieren .

Belangrijkste inzichten

Noord-Koreaanse dreigingsactoren zijn overgestapt van opportunistische pakketnaambezetting naar een volwassen, multi-vector supply chain-oorlogsvoering – met Ethereum's blockchain voor onopspoorbare C2, zelfreplicerende wormen voor virale verspreiding en AI voor productiesnelle malwaregeneratie. De NullReceiver- en ChainDrop-campagnes, beide binnen enkele dagen na elkaar begin augustus 2026 onthuld, suggereren dat het operationele tempo en de technische ambitie alleen maar toenemen.