ChainDrop та NullReceiver: як хакери з Північної Кореї використовують Ethereum для атак на екосистему npm

• Шкідливі пакети містять жорстко закодовану адресу Ethereum-гаманця (наприклад, 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• Під час виконання шкідливе програмне забезпечення запитує блокчейн Ethereum про останні вхідні транзакції на цей гаманець .
• Воно зчитує поле адреси отримувача транзакцій з нульовою вартістю (null-value). Саме туди зловмисники закодовують IP-адресу або домен активного C2-сервера .
• Оскільки адреса C2 зберігається в блокчейні у вигляді звичайного переказу криптовалюти, вона зливається з нормальним трафіком і уникає традиційних мережевих методів виявлення .

Це дозволяє зловмисникам динамічно змінювати C2-інфраструктуру без оновлення шкідливого ПЗ: вони просто ініціюють нову нульову транзакцію Ethereum із закодованою новою адресою .

Ширше використання Ethereum для C2

Ще до NullReceiver npm-пакети, пов'язані з КНДР, використовували смарт-контракти Ethereum як прихований C2-шар для доставки шкідливого ПЗ . Ця еволюція є частиною стратегії: незмінність, глобальна доступність та структурна легітимність блокчейну роблять його ідеальним стійким каналом C2, який захисники не можуть легко заблокувати.

Черв'як ChainDrop: саморозмноження в масштабі

4 серпня 2026 року Microsoft Threat Intelligence розкрила інформацію про ChainDrop — саморозмножувальний npm-черв'як, який став найагресивнішою на сьогодні атакою КНДР на ланцюжок постачання ПЗ .

• Масштаб: Приблизно за дві години ChainDrop отруїв 435 пакетів та 1557 версій, починаючи з компрометації пакету keyv@6.0.0 .
• Механізм: Черв'як використовував preinstall-скрипти для виконання обфускованих навантажень (наприклад, setup.mjs, math_init.js), які завантажували модуль для викрадення облікових даних під назвою Mini Shai-Hulud .
• Саморозмноження: Після виконання в CI/CD-середовищі жертви, черв'як викрадав токени для публікації в npm і автоматично публікував шкідливі оновлення для інших пакетів того ж розробника або організації, створюючи каскадну інфекцію .
• Масштаб впливу: Серед уражених пакетів — широко використовувані утиліти keyv, flat-cache та cache-manager, які сягають великих корпоративних екосистем .

Важливе застереження: Хоча час проведення та тактики, методи і процедури (TTPs) (націленість на npm, крадіжка облікових даних, мотивація криптовалютою) дуже послідовні з активністю КНДР, ChainDrop ще офіційно не приписано конкретній північнокорейській підгрупі, як NullReceiver. Аналіз Microsoft зосереджений на технічній анатомії черв'яка; атрибуція ще встановлюється.

Що ці кампанії розкривають про еволюцію атак КНДР на ланцюжки постачання

1. Від статичних пакетів до саморозмножувальних черв'яків

Старіші npm-кампанії КНДР — як захоплення пакетів debug, chalk та axios у вересні 2025 року — покладалися на фішинг супровідників та впровадження коду для спустошення гаманців у статичні пакети . ChainDrop представляє якісний стрибок: він поєднує крадіжку облікових даних з автоматизованим перевиданням, перетворюючи одну компрометацію на інфекційний ланцюжок, що експоненційно зростає без додаткової соціальної інженерії .

2. Блокчейн як шар приховування та стійкості

NullReceiver та його попередники показують перехід хакерів КНДР від жорстко закодованих або fast-flux C2 до C2 з розв'язанням через блокчейн. Мережа Ethereum стає глобальною стійкою до цензури дошкою оголошень, яку атакуючі контролюють фінансово (через свій гаманець) замість інфраструктурно (через домени чи IP). Це робить блокування майже неможливим без захоплення самого гаманця .

3. Соціальна інженерія + допомога ШІ

Amazon Threat Intelligence пов'язала компрометації пакетів debug, chalk, axios та typo-crypto з групою Sapphire Sleet (також відомою як BlueNoroff, Stardust Chollima та CageyChameleon), відзначивши використання створення шкідливого ПЗ за допомогою ШІ та цілеспрямовану соціальну інженерію супровідників відкритого коду . Кампанія PromptMink (Famous Chollima/Shifty Corsair) також продемонструвала створені ШІ шкідливі npm-пакети, які підтримувалися протягом семи місяців у більш ніж 300 версіях .

4. Розповсюдження на інші екосистеми

Кампанія Shai-Hulud (з вересня 2025 року) еволюціонувала з npm-черв'яка у міжекосистемну загрозу, націлившись на PyPI та інші реєстри. Це показує, що хакери КНДР інвестують у багатоплатформну стійкість .

5. Фінансова мотивація як основний рушій

Усі ці кампанії мають спільну мету: крадіжку криптовалюти. Незалежно від того, чи це крадіжка облікових даних для спустошення гаманців розробників, захоплення CI/CD конвеєрів для впровадження коду, що викрадає криптовалюту, чи використання блокчейну C2 для підтримки постійного доступу — кінцева мета залишається викачування цифрових активів для фінансування режиму КНДР .

Ключові висновки

Хакери КНДР перейшли від опортуністичного сквотингу пакетів до зрілої багатовекторної здатності вести війну в ланцюжках постачання — використовуючи блокчейн Ethereum для невиявного C2, саморозмножувальні черв'яки для вірусного поширення та ШІ для створення шкідливого ПЗ зі швидкістю виробництва. Кампанії NullReceiver та ChainDrop, розкриті з різницею в кілька днів на початку серпня 2026 року, свідчать про те, що операційний темп і технічні амбіції прискорюються.