北韓黑客組織Sapphire Sleet發動大型npm供應鏈攻擊 最新技術NullReceiver將C2伺服器藏於零值以太坊交易中

四個被攻陷嘅套件按時間順序係 ：

• typo-crypto（2025年3月）：睇嚟係整場行動嘅測試版，Amazon認為呢次初期入侵係用嚟完善戰術 。
• debug同chalk（2025年9月）：兩個極受歡迎嘅npm程式庫。攻擊者用一個似層層嘅npm域名去釣魚套件維護者，然後將錢包盜取腳本植入至少18個惡意版本 。呢次入侵喺推出後兩個鐘內影響到約10%嘅雲端環境 。
• axios（2026年3月）：JavaScript生態系統中最受歡迎嘅HTTP客戶端程式庫之一，當時每週下載量超過7000萬 。兩個受毒害嘅版本（v1.14.1同v0.30.4）引入咗一個惡意依賴，會部署遠端存取木馬 。

攻擊者結合社交工程——同維護者做朋友、偷取憑證——同AI生成嘅代碼嚟避開偵測 。佢哋唔係直接改套件嘅運行時行為，而係注入木馬化更新，喺開發者安裝套件嗰陣部署錢包盜取腳本同憑證竊取器 。

Microsoft Threat Intelligence亦獨立定位到2026年6月17日嘅Mastra AI npm供應鏈攻擊——喺45分鐘內影響超過140個套件——係出自同一個Sapphire Sleet組織，佢哋以高信心肯定呢個判斷 。

NullReceiver技術：將C2伺服器隱藏喺以太坊交易中

喺2026年8月2日至4日報導嘅研究中，OpenSource Malware嘅安全分析師記錄咗一種名為NullReceiver嘅全新區塊鏈命令與控制技術，喺兩個額外嘅北韓惡意npm套件入面發現：bianira-ui@1.27.0同fluid-type-ui@2.0.8 。呢啲套件假冒正版Tailwind CSS插件，同正在進行嘅「Contagious Interview」行動有關 。

NullReceiver嘅運作原理 ：

同之前嘅技術（好似EtherHiding）唔同，NullReceiver採取咗一個更加隱蔽嘅方法：

1. 惡意軟件包含一個硬編碼嘅以太坊錢包地址（0xa322e5f3d311d3080e6f0121063e9adc2490ef1a）
2. 運行時，佢會查詢以太坊區塊鏈上該錢包最近嘅轉出交易。
3. 佢會讀取該最新零值、零數據以太坊轉賬嘅目標地址。
4. 將呢個目標地址嘅字節解碼後，就會得到下一階段C2伺服器嘅IP地址。

呢種技術令到C2查詢睇起嚟同普通區塊鏈活動一模一樣——有人將以太幣轉咗去另一個錢包。惡意代碼入面冇可疑嘅數據載荷、冇隱藏域名、亦冇靜態IP。OpenSource Malware指出，NullReceiver係EtherHiding嘅刻意進化，將「秘密」從交易嘅calldata轉移到接收地址本身，解決咗之前方法嘅偵測問題 。

國際反應同歸因

多間主要安全供應商都得出相同嘅歸因結論：

• Amazon Threat Intelligence以中等信心判斷，四個npm套件入侵都係Sapphire Sleet所為，根據分享嘅C2指標、代碼重用、安裝後鉤子等戰術 。
• Microsoft Threat Intelligence以高信心獨立判斷Sapphire Sleet係Mastra AI攻擊 同axios入侵 嘅幕後黑手，仲記錄咗同一組織以Teams主題嘅誘餌針對macOS嘅行動 。
• Google Threat Intelligence亦將axios攻擊歸因於同一組織，佢哋稱為UNC1069 。
• 美國政府同同盟嘅網絡安全機構持續警告北韓國家級贊助嘅加密貨幣盜竊行為，特別係透過開源軟件供應鏈攻擊 。（根據TRM Labs，北韓喺2026年盜取咗約76%嘅加密貨幣黑客價值，但呢個數字唔係單單由呢啲npm攻擊造成）

根據現有資料，冇發現北韓政府明確否認Sapphire Sleet或NullReceiver指控嘅公開聲明。北韓通常會透過標準外交渠道否認所有國家級贊助嘅網絡攻擊指控，但呢次證據集中冇發現對呢啲具體行動嘅直接否認。

呢啲對於開發者同安全團隊意味住乜嘢

而家有幾十個惡意npm套件使用社交工程、AI生成代碼同區塊鏈C2技術。傳統嘅靜態分析同域名封鎖係捉唔到NullReceiver嘅，因為惡意軟件代碼入面根本冇可疑域名或者IP出現。來自多個來源嘅安全建議包括 ：

• **建立軟體物料清單（SBOM）**並監控依賴有冇意外嘅變化。
• 使用隔離窗口——拒絕安裝過去24至72小時內發布嘅任何套件版本，以此減緩快速毒害攻擊。
• 停用生命週期腳本，並以確定性方式安裝套件版本。
• 將懷疑嘅依賴入侵視為更廣泛嘅憑證同環境風險——輪換秘密、隔離受影響系統，並監控有冇後續活動。