ChainDrop e NullReceiver: Como Hackers Norte-Coreanos Estão Usando Ethereum para Atacar o Ecossistema npm

• Os pacotes maliciosos contêm um endereço de carteira Ethereum fixo (como 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Durante a execução, o malware consulta a blockchain Ethereum em busca das últimas transações recebidas nessa carteira .
• Ele lê o campo endereço de destino de transações de valor zero (valor nulo), onde os atacantes codificaram o endereço IP ou domínio do servidor C2 ativo .
• Como o endereço C2 está armazenado na blockchain em uma transferência de criptomoedas comum, ele se mistura ao tráfego normal da rede e escapa de sistemas de detecção tradicionais .

Essa abordagem permite que os atacantes troquem a infraestrutura C2 dinamicamente sem precisar atualizar o malware — eles simplesmente emitem uma nova transação Ethereum de valor zero com um novo endereço codificado .

Técnicas Mais Amplas de C2 Usando Ethereum

Antes do NullReceiver, pacotes npm ligados à Coreia do Norte já haviam sido observados usando contratos inteligentes do Ethereum como uma camada C2 oculta para entregar malware . A progressão mostra uma estratégia deliberada: a imutabilidade, a disponibilidade global e a legitimidade estrutural da blockchain a tornam um canal C2 resiliente e quase impossível de ser derrubado por defensores .

O Worm ChainDrop: Autopropagação em Escala Industrial

Em 4 de agosto de 2026, a Microsoft Threat Intelligence revelou o ChainDrop, um worm npm autopropagável que continua sendo o ataque à cadeia de suprimentos de software mais agressivo ligado à Coreia do Norte até hoje .

• Escala: Em aproximadamente duas horas, o ChainDrop envenenou 435 pacotes e 1.557 versões, começando com o comprometimento do pacote keyv@6.0.0 .
• Mecanismo: O worm usava scripts preinstall para executar cargas maliciosas ofuscadas (ex.: setup.mjs, math_init.js) que baixavam um módulo de roubo de credenciais chamado Mini Shai-Hulud .
• Autopropagação: Uma vez executado em um ambiente CI/CD da vítima, o worm roubava as credenciais de publicação do npm e republicava automaticamente atualizações maliciosas em outros pacotes pertencentes ao mesmo desenvolvedor ou organização — criando uma reação em cadeia de infecção .
• Escopo do impacto: Os pacotes afetados incluíam utilitários amplamente usados como keyv, flat-cache e cache-manager, atingindo ecossistemas empresariais a jusante .

Atenção importante: Embora o momento e as táticas usadas (visar npm, roubo de credenciais, motivação por criptomoedas) sejam altamente consistentes com a atividade da Coreia do Norte, o ChainDrop ainda não foi formalmente atribuído a um subgrupo específico do DPRK da mesma forma que o NullReceiver foi. A análise da Microsoft foca na anatomia técnica do worm; a atribuição ainda está em andamento.

O Que Essas Campanhas Revelam Sobre a Evolução dos Ataques Norte-Coreanos

1. De Pacotes Estáticos a Worms Autopropagáveis

Campanhas norte-coreanas mais antigas no npm — como o sequestro dos pacotes debug, chalk e axios em setembro de 2025 — dependiam de phishing de mantenedores e da inserção de códigos de roubo de carteiras em pacotes estáticos . O ChainDrop representa uma mudança de paradigma: ele combina roubo de credenciais com republicação automatizada, transformando um único comprometimento em uma cadeia de infecção de crescimento exponencial que não requer mais engenharia social .

2. Blockchain como Camada de Furtividade e Resiliência

O NullReceiver e seus antecessores mostram que os atores norte-coreanos estão migrando de servidores C2 fixos para C2 resolvido por blockchain. A rede Ethereum se torna um quadro de avisos global, resistente à censura e publicamente verificável, que os atacantes controlam financeiramente (através de sua carteira) em vez de infraestruturalmente (através de domínios ou IPs). Isso torna praticamente impossível derrubar o servidor C2 sem apreender a carteira do atacante .

3. Engenharia Social + Assistência de IA

A Amazon Threat Intelligence ligou os comprometimentos de debug, chalk, axios e typo-crypto ao grupo norte-coreano Sapphire Sleet (também conhecido como BlueNoroff, Stardust Chollima e CageyChameleon), observando o uso de geração de malware assistida por IA e engenharia social direcionada a mantenedores de código aberto . A campanha PromptMink (Famous Chollima/Shifty Corsair) demonstrou ainda mais a capacidade de gerar pacotes npm maliciosos por IA, sustentando a operação por sete meses em mais de 300 versões .

4. Contaminação Multiecossistemas

A campanha Shai-Hulud (de setembro de 2025 em diante) evoluiu de um worm npm para uma ameaça que atinge vários ecossistemas, incluindo o PyPI e outros registros, mostrando o investimento dos atores norte-coreanos em persistência multiplataforma .

5. Motivação Financeira como Motor Principal

Todas essas campanhas compartilham um objetivo comum: o roubo de criptomoedas. Seja roubando credenciais para drenar carteiras de desenvolvimento, sequestrando pipelines de CI/CD para injetar código de roubo de cripto ou usando blockchain C2 para manter acesso persistente — o objetivo final é desviar ativos digitais para financiar o regime norte-coreano .

Principais Conclusões

Os atores de ameaça norte-coreanos passaram de ataques oportunistas de 'typosquatting' para uma capacidade madura de guerra na cadeia de suprimentos, usando a blockchain Ethereum para C2 indetectável, worms autorreplicantes para propagação viral e IA para geração de malware em velocidade de produção. As campanhas NullReceiver e ChainDrop, ambas reveladas em dias de diferença no início de agosto de 2026, sugerem que o ritmo operacional e a ambição técnica estão acelerando.