NullReceiver elimina endereço de gravação que tornava o EtherHiding fácil de detectar

Alerta urgente: o laboratório de pesquisa Sonatype revelou que seis pacotes npm estão usando carteiras Ethereum de um invasor para obter locais de servidores de comando, sinalizando uma nova ameaça. Três desses pacotes são bibliotecas amplamente conhecidas que foram silenciosamente comprometidas, aumentando o risco de correção de 10% em cadeias dependentes. Qualquer pessoa que tenha instalado as versões afetadas deve removê-las imediatamente e examinar seus sistemas em busca de código malicioso subsequente que possa ter sido executado.

Os atacantes invadiram três bibliotecas reais 

O pesquisador da Sonatype, Adam Reynolds, afirma que os seis pacotes se dividem em duas categorias.

Aparentemente, as contas de publicação de bibliotecas reais foram comprometidas, permitindo a distribuição de uma versão adulterada.

Essas são as versões @kolbo/[email protected], [email protected] e [email protected]. Elas colocaram o carregador no final de um arquivo que já vinha com o pacote, preservando assim a funcionalidade original.

Os outros três eram pacotes personalizados criados para transportar o malware. São eles: [email protected], [email protected] e [email protected].

O primeiro pacote inclui auxiliares de configuração, o segundo inclui um plugin PostCSS funcional e o último pacote oculta o carregador dentro de um arquivo utilitário minificado.

A Sonatype confirmou que todos os seis blocos de código utilizam a mesma carga útil e a Ethereum .

Quando a vítima executa o código, o carregador consulta Ethereum para obter a última transação de saída da carteira etracbytes do campo destinatário dessa transação.

Esses bytes se traduzem em dois endereços IPv4. Eles servem como servidores de comando e controle primário e secundário para o malware. A transferência existe apenas para armazenar instruções sobre onde o malware deve se conectar.

Pesquisadores da Sonatype afirmaram que o carregador acessa vários Ethereum simultaneamente, fazendo com que eles disputem entre si. Em seguida, ele agrupa suas chamadas JSON-RPC e recorre à API do Blockscout caso as consultas diretas falhem.

Assim que encontra um servidor, tenta mais duas etapas nos endpoints `/0x/cls` e `/0x/ls`, recorrendo a um cabeçalho de resposta `X-Payload-B64` quando um GET simples não retorna os resultados esperados.

O resultado é decodificado em Base64 e XOR, e então executado no processo Node.js atual através de `eval()` ou iniciado como um processo filho separado.

NullReceiver é uma versão mais enxuta do EtherHiding

Esse esquema de recuperação on-chain foi observado pelo OpenSourceMalware em dois clones trojanizados do Tailwind CSS, bianira-ui e fluid-type-ui, e foi denominado NullReceiver.

A empresa associa a atividade à campanha "Entrevista Contagiosa", ligada à Coreia do Norte e associada ao grupo Lazarus. A Sonatype verificou a correspondência da carteira.

O NullReceiver resolve uma lacuna no EtherHiding, a técnica que o Google Threat Intelligence atribuiu a um agente ligado à Coreia do Norte em outubro de 2025.

O EtherHiding oculta o segredo dentro do campo de dados de uma transação e sempre a envia para o endereço público de queima do Ethereum, fornecendo aos defensores um ponto de referência fixo para monitorar.

O NullReceiver não envia dados e não reutiliza um destino. Na amostra analisada pelo OpenSourceMalware, os bytes do destinatário decodificados resultaram em 166.88.134.62, com os bytes finais formando a string “helloipbot!!” como uma impressão digital do atacante.

Em setembro de 2025, Cryptopolitan noticiou que a ReversingLabs havia descoberto os downloaders npm colortoolv2 e mimelib2, que ocultavam URLs de malware dentro de Ethereum inteligentestrace estavam ligados à Ghost Network de Stargazer.

A Sonatype afirmou que ainda está investigando a atividade relacionada ao npm. Os desenvolvedores afetados devem remover os pacotes npm sinalizados. Eles também devem procurar indícios de que um payload de segundo estágio foi executado.

Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.