ChainDrop и NullReceiver: Атаки хакеров КНДР на экосистему npm через Ethereum и самораспространяющиеся черви

• Вредоносные пакеты содержат жёстко заданный адрес кошелька Ethereum (например, 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Во время выполнения вредоносное ПО запрашивает блокчейн Ethereum для получения последних входящих транзакций на этот кошелёк .
• Оно считывает поле адреса назначения нулевых (нуль-значных) транзакций, где злоумышленники закодировали IP-адрес или домен активного C2-сервера .
• Поскольку адрес C2 хранится в блокчейне в виде обычного перевода криптовалюты, он сливается с нормальным трафиком блокчейна и ускользает от традиционных средств обнаружения на основе сети .

Этот подход позволяет злоумышленникам динамически менять инфраструктуру C2 без обновления вредоносного ПО — достаточно просто совершить новую нулевую транзакцию Ethereum с новым закодированным адресом .

Более широкое применение блокчейна Ethereum в C2

Ещё до NullReceiver пакеты npm, связанные с КНДР, были замечены в использовании смарт-контрактов Ethereum в качестве скрытого слоя C2 для доставки вредоносного ПО . Эта прогрессия демонстрирует продуманную стратегию: неизменность блокчейна, глобальная доступность и структурная легитимность делают его идеальным устойчивым каналом C2, который защитники не могут легко заблокировать.

Червь ChainDrop: самораспространение в промышленных масштабах

4 августа 2026 года Microsoft Threat Intelligence раскрыла ChainDrop — самораспространяющийся npm-червь, который остаётся самой агрессивной атакой на цепочки поставок ПО, связанной с КНДР, на сегодняшний день .

• Масштаб: Примерно за два часа ChainDrop отравил 435 пакетов и 1557 версий, начиная с компрометации пакета keyv@6.0.0 .
• Механизм: Червь использовал скрипты preinstall для выполнения обфусцированных полезных нагрузок (например, setup.mjs, math_init.js), которые загружали модуль кражи учётных данных под названием Mini Shai-Hulud .
• Самораспространение: Попав в CI/CD-среду жертвы, червь крал учётные данные для публикации в npm и автоматически перевыпускал вредоносные обновления для других пакетов того же разработчика или организации — создавая каскадную цепь заражения .
• Область поражения: Затронутые пакеты включали широко используемые утилиты, такие как keyv, flat-cache и cache-manager, достигая крупных корпоративных экосистем ниже по цепочке .

Важное примечание: Хотя сроки и TTP (нацеливание на npm, кража учётных данных, мотивация криптовалютой) очень согласуются с активностью КНДР, ChainDrop ещё официально не приписан конкретной подгруппе КНДР, как NullReceiver. Анализ Microsoft сосредоточен на технической анатомии червя; атрибуция всё ещё выясняется.

Что эти кампании говорят об эволюции атак КНДР на цепочки поставок

1. От статических пакетов к самораспространяющимся червям

Более старые npm-кампании КНДР — такие как захват debug, chalk и axios в сентябре 2025 года — полагались на фишинг мейнтейнеров и внедрение кода для опустошения кошельков в статические пакеты . ChainDrop представляет собой качественный скачок: он сочетает кражу учётных данных с автоматической перепубликацией, превращая одну компрометацию в экспоненциально растущую цепь заражения, не требующую дополнительной социальной инженерии .

2. Блокчейн как уровень скрытности и устойчивости

NullReceiver и его предшественники показывают, как хакеры КНДР переходят от жёстко заданных или быстро меняющихся C2 к C2, разрешаемому через блокчейн. Сеть Ethereum становится глобальной, устойчивой к цензуре, публично проверяемой доской объявлений, которую злоумышленники контролируют финансово (через свой кошелёк), а не инфраструктурно (через домены или IP-адреса). Это делает блокировку практически невозможной без захвата самого кошелька .

3. Социальная инженерия и помощь ИИ

Amazon Threat Intelligence связала компрометации пакетов debug, chalk, axios и typo-crypto с группой Sapphire Sleet (также известной как BlueNoroff, Stardust Chollima и CageyChameleon), отметив использование генерации вредоносного ПО с помощью ИИ и целенаправленной социальной инженерии мейнтейнеров открытого ПО . Кампания PromptMink (Famous Chollima/Shifty Corsair) дополнительно продемонстрировала созданные с помощью ИИ вредоносные npm-пакеты, которые поддерживались в течение семи месяцев в более чем 300 версиях .

4. Межэкосистемное распространение

Кампания Shai-Hulud (с сентября 2025 года) эволюционировала из npm-червя в межэкосистемную угрозу, нацелившись на PyPI и другие реестры, показывая, что хакеры КНДР инвестируют в многоплатформенную устойчивость .

5. Финансовая мотивация как основной двигатель

Все эти кампании объединяет общая цель: кража криптовалюты. Будь то кража учётных данных для опустошения кошельков разработчиков, перехват пайплайнов CI/CD для внедрения кода, крадущего криптовалюту, или использование блокчейна C2 для поддержания постоянного доступа — конечная цель остаётся прежней: выкачивание цифровых активов для финансирования режима КНДР .

Основные выводы

Хакеры КНДР перешли от оппортунистического сквоттинга пакетов к зрелой, многовекторной способности вести войну в цепочках поставок — используя блокчейн Ethereum для необнаруживаемого C2, самореплицирующиеся черви для вирусного распространения и ИИ для генерации вредоносного ПО с производственной скоростью. Кампании NullReceiver и ChainDrop, обе раскрытые в течение нескольких дней друг от друга в начале августа 2026 года, указывают на то, что оперативный темп и технические амбиции ускоряются.