ChainDrop และ NullReceiver: เมื่อแฮกเกอร์เกาหลีเหนือใช้ Ethereum โจมตี npm Ecosystem

Ethereum Blockchain ในฐานะโครงสร้างพื้นฐาน C2

NullReceiver: ซ่อน C2 ไว้ในธุรกรรม Ethereum ที่มีมูลค่าเป็นศูนย์

เทคนิค NullReceiver ถูกพบในแพ็กเกจ npm ที่ถูกดัดแปลง 2 ตัว ได้แก่ bianira-ui@1.27.0 และ fluid-type-ui@2.0.8 ซึ่งปลอมตัวเป็นปลั๊กอิน Tailwind CSS ที่ถูกต้องตามกฎหมาย และเชื่อมโยงกับแคมเปญ Contagious Interview ของ DPRK กลไกการทำงานมีดังนี้:

• แพ็กเกจที่เป็นอันตรายมีที่อยู่กระเป๋า Ethereum ที่ถูกฝังไว้ (เช่น 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7)
• เมื่อรัน มัลแวร์จะสอบถามบล็อกเชน Ethereum เพื่อหาธุรกรรมล่าสุดที่ส่งไปยังกระเป๋านั้น
• มัลแวร์จะอ่านฟิลด์ ที่อยู่ปลายทาง ของธุรกรรมที่มีมูลค่าเป็นศูนย์ (null-value) ซึ่งผู้โจมตีได้เข้ารหัสที่อยู่ IP หรือโดเมนของเซิร์ฟเวอร์ C2 ที่กำลังทำงานอยู่
• เนื่องจากที่อยู่ C2 ถูกจัดเก็บ บนบล็อกเชน ซึ่งดูเหมือนการโอนคริปโตทั่วไป ทำให้กลมกลืนไปกับการจราจรบล็อกเชนปกติ และหลบเลี่ยงการตรวจจับบนเครือข่ายแบบดั้งเดิม

วิธีการนี้ช่วยให้ผู้โจมตีเปลี่ยนโครงสร้างพื้นฐาน C2 ได้แบบไดนามิกโดยไม่ต้องอัปเดตมัลแวร์ — เพียงแค่ทำธุรกรรม Ethereum มูลค่าเป็นศูนย์ครั้งใหม่พร้อมที่อยู่ที่เข้ารหัสใหม่

วิวัฒนาการของ C2 บน Ethereum ที่กว้างขึ้น

ก่อนหน้า NullReceiver แพ็กเกจ npm ที่เชื่อมโยงกับ DPRK เคยถูกพบว่าใช้สัญญาอัจฉริยะ Ethereum เป็นชั้น C2 ที่ซ่อนเร้นเพื่อส่งมัลแวร์ กลยุทธ์นี้แสดงให้เห็นถึงความตั้งใจ: ความไม่เปลี่ยนแปลง ความพร้อมใช้งานทั่วโลก และความชอบธรรมตามโครงสร้างของบล็อกเชนทำให้มันกลายเป็นช่องทาง C2 ที่เหมาะแก่การฟื้นตัว ซึ่งผู้ป้องกันไม่สามารถปิดกั้นได้โดยง่าย

หนอนไวรัส ChainDrop: การแพร่กระจายตัวเองในวงกว้าง

เมื่อวันที่ 4 สิงหาคม 2026 Microsoft Threat Intelligence เปิดเผยข้อมูลเกี่ยวกับ ChainDrop ซึ่งเป็นหนอนไวรัส npm ที่แพร่กระจายตัวเองได้ และนับเป็นการโจมตีซัพพลายเชนที่รุนแรงที่สุดที่เชื่อมโยงกับ DPRK เท่าที่เคยพบมา

• ขนาด: ภายในเวลาประมาณ 2 ชั่วโมง ChainDrop ได้แพร่ระบาดไปยัง แพ็กเกจ 435 ตัวและ 1,557 เวอร์ชัน เริ่มต้นจากการบุกรุกแพ็กเกจ keyv@6.0.0
• กลไก: หนอนไวรัสใช้สคริปต์ preinstall เพื่อรันเพย์โหลดที่ถูกบดบัง (เช่น setup.mjs, math_init.js) ซึ่งดาวน์โหลดโมดูลขโมยข้อมูลรับรองที่ชื่อว่า Mini Shai-Hulud
• การแพร่กระจายตัวเอง: เมื่อรันบนสภาพแวดล้อม CI/CD ของเหยื่อ หนอนไวรัสจะขโมยข้อมูลรับรองการเผยแพร่ npm และทำการเผยแพร่อัปเดตที่เป็นอันตรายไปยังแพ็กเกจ อื่นๆ ที่เป็นเจ้าของโดยนักพัฒนาหรือองค์กรเดียวกันโดยอัตโนมัติ — สร้างเป็นห่วงโซ่การติดเชื้อที่กระจายเป็นวงกว้าง
• ขอบเขตผลกระทบ: แพ็กเกจที่ได้รับผลกระทบรวมถึงยูทิลิตี้ที่ใช้กันอย่างแพร่หลาย เช่น keyv, flat-cache และ cache-manager ซึ่งส่งผลกระทบต่อระบบนิเวศขององค์กรขนาดใหญ่ในท้ายที่สุด

ข้อควรระวังสำคัญ: แม้ว่าเวลาและเทคนิค TTPs (การกำหนดเป้าหมาย npm, การขโมยข้อมูลรับรอง, แรงจูงใจด้านคริปโต) จะสอดคล้องกับกิจกรรมของ DPRK อย่างมาก แต่ ChainDrop ยังไม่ได้รับการระบุอย่างเป็นทางการว่าเป็นฝีมือของกลุ่มย่อย DPRK ใดๆ เช่นเดียวกับ NullReceiver การวิเคราะห์ของ Microsoft มุ่งเน้นไปที่ลักษณะทางเทคนิคของหนอนไวรัส การระบุที่มา (attribution) ยังคงอยู่ในระหว่างการดำเนินการ

สิ่งที่แคมเปญเหล่านี้เผยให้เห็นเกี่ยวกับวิวัฒนาการของการโจมตีซัพพลายเชนของ DPRK

1. จากแพ็กเกจแบบคงที่ สู่หนอนไวรัสที่แพร่กระจายตัวเอง

แคมเปญ npm ของ DPRK ในอดีต เช่น การยึดแพ็กเกจ debug, chalk และ axios ในเดือนกันยายน 2025 อาศัยการฟิชชิ่งผู้ดูแลและผลักดันโค้ดที่ดูดเงินกระเป๋าเข้าไปในแพ็กเกจแบบคงที่ ChainDrop ถือเป็นการก้าวกระโดด: มันรวมการขโมยข้อมูลรับรองเข้ากับการเผยแพร่ซ้ำโดยอัตโนมัติ ทำให้การบุกรุกเพียงครั้งเดียวกลายเป็นห่วงโซ่การติดเชื้อที่เพิ่มขึ้นแบบทวีคูณโดยไม่ต้องใช้วิศวกรรมสังคมเพิ่มเติม

2. บล็อกเชนในฐานะชั้นการซ่อนตัวและความยืดหยุ่น

NullReceiver และรุ่นก่อนหน้าแสดงให้เห็นว่าผู้ดำเนินการของ DPRK กำลังย้ายจาก C2 แบบฮาร์ดโค้ดหรือ fast-flux ไปเป็น C2 ที่แก้ไขผ่านบล็อกเชน เครือข่าย Ethereum กลายเป็นกระดานข่าวสารระดับโลก ที่ไม่ถูกเซ็นเซอร์ และสามารถตรวจสอบได้โดยสาธารณะ ซึ่งผู้โจมตีควบคุมผ่านการเงิน (กระเป๋าของพวกเขา) มากกว่าการควบคุมผ่านโครงสร้างพื้นฐาน (โดเมนหรือ IP) ทำให้การปิดกั้นแทบจะเป็นไปไม่ได้หากไม่ยึดกระเป๋าเอง

3. วิศวกรรมสังคม + ความช่วยเหลือจาก AI

Amazon Threat Intelligence เชื่อมโยงการบุกรุกแพ็กเกจ debug, chalk, axios และ typo-crypto เข้ากับกลุ่ม Sapphire Sleet (หรือที่รู้จักในชื่อ BlueNoroff, Stardust Chollima และ CageyChameleon) โดยสังเกตถึงการใช้ การสร้างมัลแวร์ด้วย AI และการกำหนดเป้าหมายนักพัฒนาโอเพนซอร์สด้วยวิศวกรรมสังคม แคมเปญ PromptMink (Famous Chollima/Shifty Corsair) แสดงให้เห็นถึงแพ็กเกจ npm อันตรายที่สร้างด้วย AI อย่างต่อเนื่องเป็นเวลาเจ็ดเดือนกว่า 300 เวอร์ชัน

4. การแพร่กระจายข้ามระบบนิเวศ

แคมเปญ Shai-Hulud (ตั้งแต่กันยายน 2025) พัฒนาจากหนอนไวรัส npm ไปเป็นภัยคุกคามข้ามระบบนิเวศที่กำหนดเป้าหมาย PyPI และรีจิสทรีอื่นๆ แสดงให้เห็นว่าผู้ดำเนินการของ DPRK ลงทุนในการคงอยู่บนหลายแพลตฟอร์ม

5. แรงจูงใจทางการเงินเป็นตัวขับเคลื่อนหลัก

แคมเปญทั้งหมดมีเป้าหมายร่วมกันคือการขโมยคริปโทเคอร์เรนซี ไม่ว่าจะเป็นการขโมยข้อมูลรับรองเพื่อเทกระเป๋าพัฒนา การยึดไพพ์ไลน์ CI/CD เพื่อฉีดโค้ดขโมยคริปโต หรือการใช้บล็อกเชน C2 เพื่อคงการเข้าถึงแบบถาวร — เป้าหมายสูงสุดคือการดูดสินทรัพย์ดิจิทัลเพื่อสนับสนุนระบอบเกาหลีเหนือ

ประเด็นสำคัญ

ผู้คุกคาม DPRK ได้เปลี่ยนจากการทำ package squatting แบบฉวยโอกาส ไปสู่ความสามารถในการทำสงครามห่วงโซ่อุปทานแบบหลายทิศทางที่สมบูรณ์ — ใช้บล็อกเชนของ Ethereum สำหรับ C2 ที่ตรวจจับไม่ได้, หนอนไวรัสที่จำลองตัวเองเพื่อ การแพร่กระจายแบบไวรัล และ AI สำหรับ การสร้างมัลแวร์ด้วยความเร็วระดับการผลิต แคมเปญ NullReceiver และ ChainDrop ซึ่งถูกเปิดเผยภายในระยะเวลาไม่กี่วันของกันและกันในช่วงต้นเดือนสิงหาคม 2026 บ่งชี้ว่าจังหวะปฏิบัติการและความทะเยอทะยานทางเทคนิคกำลังเร่งตัวขึ้น