ChainDrop og NullReceiver: Slik bruker Nord-Koreas hackere Ethereum for å angripe npm-økosystemet

Ethereum-blokkjeden som C2-infrastruktur

NullReceiver: C2 skjult i tomme Ethereum-transaksjoner

NullReceiver-teknikken ble oppdaget i to ondsinnede npm-pakker – bianira-ui@1.27.0 og fluid-type-ui@2.0.8 – som utga seg for å være legitime Tailwind CSS-plugins. Pakkene er knyttet til den DPRK-relaterte Contagious Interview-kampanjen . Slik fungerer mekanismen:

• De ondsinnede pakkene inneholder en hardkodet Ethereum-lommebokadresse, for eksempel 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7 .
• Under kjøring spør skadevaren Ethereum-blokkjeden om de siste innkommende transaksjonene til denne lommeboka .
• Den leser destinasjonsadresse-feltet i transaksjoner med null verdi, der angriperne har kodet IP-adressen eller domenet til den aktive C2-serveren .
• Siden C2-adressen lagres på blokkjeden i en vanlig kryptovalutaoverføring, blander den seg inn i normal blokkjede-trafikk og unngår tradisjonell nettverksdeteksjon .

Denne metoden lar angriperne bytte C2-infrastruktur dynamisk uten å oppdatere skadevaren – de sender ganske enkelt en ny Ethereum-transaksjon med null verdi og en ny kodet adresse .

Bredere Ethereum-basert C2-metodikk

Før NullReceiver hadde man allerede sett DPRK-tilknyttede npm-pakker som brukte Ethereum-smartkontrakter som et skjult C2-lag for å levere skadevare . Utviklingen viser en bevisst strategi: blokkjedens uforanderlighet, globale tilgjengelighet og strukturelle legitimitet gjør den til en ideell, robust C2-kanal som forsvarere ikke lett kan stenge ned.

ChainDrop-ormen: Selvreplisering i stor skala

Den 4. august 2026 offentliggjorde Microsoft Threat Intelligence ChainDrop, en selvrepliserende npm-orm som er det mest aggressive DPRK-tilknyttede forsyningskjedeangrepet hittil .

• Omfang: På cirka to timer forgiftet ChainDrop 435 pakker og 1 557 versjoner, med utgangspunkt i et kompromittert keyv@6.0.0-bibliotek .
• Mekanisme: Ormen brukte preinstall-skript for å kjøre obfuskerte nyttelaster (f.eks. setup.mjs, math_init.js) som lastet ned en modul for innhøsting av påloggingsinformasjon, Mini Shai-Hulud .
• Selvreplisering: Når den ble kjørt i offerets CI/CD-miljø, stjal ormen npm-publiseringslegitimasjon og publiserte automatisk ondsinnede oppdateringer til andre pakker eid av samme utvikler eller organisasjon – en smitteeffekt .
• Berørte pakker: Omfattet mye brukte verktøy som keyv, flat-cache og cache-manager, og nådde store bedriftssystemer nedstrøms .

Viktig forbehold: Selv om tidspunktet og TTP-ene (målretting mot npm, tyveri av legitimasjon, kryptovalutamotivasjon) er svært konsistente med DPRK-aktivitet, er ikke ChainDrop formelt tilskrevet en spesifikk DPRK-undergruppe på samme måte som NullReceiver. Microsofts analyse fokuserer på ormens tekniske anatomi; attribusjon er fortsatt under utarbeidelse.

Hva disse kampanjene avslører om utviklingen av DPRKs forsyningskjedeangrep

1. Fra statiske pakker til selvrepliserende ormer

Eldre DPRK-npm-kampanjer – som kapringen av debug, chalk og axios i september 2025 – baserte seg på phishing av vedlikeholdere og innsetting av lommeboktømmende kode i statiske pakker . ChainDrop representerer et stort sprang: det kombinerer tyveri av legitimasjon med automatisk gjenpublisering og gjør et enkelt kompromiss til en eksponentielt voksende smittekjede uten behov for ytterligere sosial manipulering .

2. Blokkjede som et skjult og robust lag

NullReceiver og dens forgjengere viser at DPRK-aktører beveger seg fra hardkodede eller hurtigskiftende C2-løsninger til blokkjedeoppløst C2. Ethereum-nettverket blir en global, sensurbestandig, offentlig bekreftbar oppslagstavle som angriperne kontrollerer økonomisk (via sin lommebok) i stedet for infrastrukturelt (via domener eller IP-adresser). Dette gjør nedstengning nesten umulig uten å beslaglegge selve lommeboka .

3. Sosial manipulering + KI-assistanse

Amazon Threat Intelligence koblet kompromitteringene av debug, chalk, axios og typo-crypto til den DPRK-tilknyttede gruppen Sapphire Sleet (også kjent som BlueNoroff, Stardust Chollima og CageyChameleon), og bemerket bruken av KI-assistert skadevaregenerering og målrettet sosial manipulering av åpen kildekode-vedlikeholdere . PromptMink-kampanjen (Famous Chollima/Shifty Corsair) demonstrerte ytterligere KI-genererte ondsinnede npm-pakker som ble opprettholdt over sju måneder på tvers av 300+ versjoner .

4. Smittsomhet på tvers av økosystemer

Shai-Hulud-kampanjen (fra september 2025 og utover) utviklet seg fra en npm-orm til en trussel på tvers av økosystemer som rettet seg mot PyPI og andre registre, noe som viser at DPRK-aktører investerer i flerplattform-persistens .

5. Økonomisk motivasjon som hoveddrivkraft

Alle disse kampanjene deler et felles mål: å stjele kryptovaluta. Enten det er tyveri av legitimasjon for å tømme utvikleres lommebøker, kapring av CI/CD-pipelines for å injisere kryptostjelende kode, eller bruk av blokkjedebasert C2 for å opprettholde vedvarende tilgang – sluttspillet er alltid å tappe digitale eiendeler for å finansiere DPRK-regimet .

Viktige funn

DPRK-trusselaktører har gått fra opportunistisk pakke-squatting til en moden, flervektor forsyningskjedekrigføring – der de bruker Ethereums blokkjede for uoppdagelig C2, selvrepliserende ormer for viral spredning og KI for produksjonsrask skadevaregenerering. Kampanjene NullReceiver og ChainDrop, som begge ble offentliggjort med få dagers mellomrom i begynnelsen av august 2026, tyder på at det operasjonelle tempoet og den tekniske ambisjonen er i ferd med å akselerere.