ChainDrop i NullReceiver: Jak hakerzy z Korei Północnej używają Ethereum do ataków na łańcuch dostaw npm

• Złośliwe paczki zawierają zakodowany na stałe adres portfela Ethereum (np. 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• W czasie uruchomienia malware odpytuje blockchain Ethereum o najnowsze przychodzące transakcje na ten adres .
• Odczytywane jest pole adresu docelowego transakcji o zerowej wartości (null), w którym atakujący zakodowali adres IP lub domenę aktywnego serwera C2 .
• Ponieważ adres C2 jest przechowywany w łańcuchu w zwykłym transferze kryptowalut, wtapia się w normalny ruch blockchainowy i unika tradycyjnych metod detekcji sieciowej .

To podejście pozwala atakującym dynamicznie zmieniać infrastrukturę C2 bez aktualizacji malware – wystarczy wysłać nową zerową transakcję Ethereum z nowym zakodowanym adresem .

Szersze wykorzystanie blockchaina Ethereum w technikach C2

Jeszcze przed NullReceiver, paczki npm powiązane z DPRK były już obserwowane przy użyciu inteligentnych kontraktów Ethereum jako ukrytej warstwy C2 do dostarczania malware . Ta ewolucja pokazuje celową strategię: niezmienność, globalna dostępność i strukturalna legalność blockchaina czynią go idealnym, odpornym kanałem C2, którego obrońcy nie mogą łatwo zlikwidować.

Robak ChainDrop: samo rozprzestrzenianie na masową skalę

4 sierpnia 2026 roku Microsoft Threat Intelligence ujawnił ChainDrop – samoreplikującego się robaka npm, który pozostaje najbardziej agresywnym atakiem na łańcuch dostaw oprogramowania powiązanym z DPRK .

• Skala: W ciągu około dwóch godzin ChainDrop zainfekował 435 paczek i 1557 wersji, zaczynając od kompromitacji paczki keyv@6.0.0 .
• Mechanizm: Robak wykorzystywał skrypty preinstall do wykonania zaciemnionych ładunków (np. setup.mjs, math_init.js), które pobierały moduł do kradzieży danych uwierzytelniających o nazwie Mini Shai-Hulud .
• Samorozprzestrzenianie: Po wykonaniu na środowisku CI/CD ofiary, robak kradł dane uwierzytelniające do publikacji w npm i automatycznie publikował złośliwe aktualizacje do innych paczek należących do tego samego dewelopera lub organizacji – tworząc kaskadowy łańcuch infekcji .
• Zasięg: Zainfekowane paczki obejmowały szeroko używane narzędzia, takie jak keyv, flat-cache i cache-manager, docierając do dużych ekosystemów korporacyjnych .

Ważne zastrzeżenie: Mimo że czas i metody (celowanie w npm, kradzież danych uwierzytelniających, motywacja kryptowalutowa) są wysoce spójne z działalnością DPRK, ChainDrop nie został jeszcze formalnie przypisany do konkretnej podgrupy DPRK w taki sam sposób jak NullReceiver. Analiza Microsoftu skupia się na technicznej anatomii robaka; atrybucja wciąż jest w toku.

Co te kampanie mówią o ewolucji ataków DPRK na łańcuch dostaw

1. Od statycznych paczek do samoreplikujących się robaków

Starsze kampanie DPRK w npm – takie jak przejęcie paczek debug, chalk i axios we wrześniu 2025 roku – opierały się na phishingu opiekunów i wstrzykiwaniu kodu kradnącego portfele do statycznych paczek . ChainDrop stanowi przełom: łączy kradzież danych uwierzytelniających z automatycznym ponownym publikowaniem, zamieniając pojedynczy kompromis w wykładniczo rosnący łańcuch infekcji, który nie wymaga dodatkowego inżynieringu społecznego .

2. Blockchain jako warstwa ukrycia i odporności

NullReceiver i jego poprzednicy pokazują, że aktorzy DPRK odchodzą od zakodowanych lub szybkozmiennych (fast-flux) C2 na rzecz C2 rozwiązywanego przez blockchain. Sieć Ethereum staje się globalną, cenzuroodporną, publicznie weryfikowalną tablicą ogłoszeń, którą atakujący kontrolują finansowo (poprzez swój portfel), a nie infrastrukturalnie (poprzez domeny czy IP). To sprawia, że likwidacja jest prawie niemożliwa bez zajęcia samego portfela .

3. Inżynieria społeczna + wsparcie AI

Amazon Threat Intelligence powiązał kompromitacje paczek debug, chalk, axios i typo-crypto z powiązaną z DPRK grupą Sapphire Sleet (znaną również jako BlueNoroff, Stardust Chollima i CageyChameleon), odnotowując użycie generowania malware wspomaganego przez AI oraz ukierunkowany inżyniering społeczny opiekunów open source . Kampania PromptMink (Famous Chollima/Shifty Corsair) dodatkowo pokazała generowane przez AI złośliwe paczki npm utrzymywane przez siedem miesięcy w ponad 300 wersjach .

4. Rozlewanie się między ekosystemami

Kampania Shai-Hulud (od września 2025 roku) ewoluowała z robaka npm w zagrożenie międzyekosystemowe, celujące w PyPI i inne rejestry, co pokazuje, że aktorzy DPRK inwestują w trwałość na wielu platformach .

5. Motywacja finansowa jako główny czynnik napędowy

Wszystkie te kampanie łączy wspólny cel: kradzież kryptowalut. Niezależnie od tego, czy chodzi o kradzież danych uwierzytelniających do opróżniania portfeli deweloperskich, przejmowanie potoków CI/CD w celu wstrzykiwania kodu kradnącego krypto, czy używanie blockchaina C2 do utrzymywania trwałego dostępu – ostatecznym celem jest odpompowywanie aktywów cyfrowych na rzecz reżimu DPRK .

Kluczowe wnioski

Aktorzy zagrożeń z Korei Północnej przeszli od oportunistycznego podszywania się pod paczki do dojrzałej, wielowektorowej zdolności prowadzenia wojny w łańcuchu dostaw – używając blockchaina Ethereum do niewykrywalnego C2, samoreplikujących się robaków do wirusowego rozprzestrzeniania i sztucznej inteligencji do generowania malware z prędkością produkcyjną. Kampanie NullReceiver i ChainDrop, ujawnione w odstępie kilku dni na początku sierpnia 2026 roku, sugerują, że tempo operacyjne i ambicje techniczne przyspieszają.