- Zwei npm-Pakete, colortoolsv2 und mimelib2, zogen Befehls- und Steuerungs-URLs aus Ethereum-Smart Contracts, um Malware der zweiten Stufe abzurufen.
- Die Operation war mit einem umfassenderen Social-Engineering-Netzwerk auf GitHub verknüpft, das gefälschte Trading-Bot-Repos und aufgeblähte Engagement-Metriken umfasste.
- Angreifer tauschten nach der Deaktivierung Pakete aus und verwendeten denselben On-Chain-Vertrag erneut, wodurch der Datenverkehr mit legitimen Blockchain-Aktivitäten verschmolzen werden konnte.
- Forscher veröffentlichten IoCs und forderten Entwickler auf, die Betreuer zu überprüfen, Abhängigkeiten zu prüfen und ungewöhnliche On-Chain-Lookups zu überwachen.
Sicherheitsanalysten haben einen Lieferkettenangriff detailliert beschrieben, bei dem npm-Pakete Ethereum-Smart-Contracts ausnutzten , um versteckte Download-Links für zusätzliche Schadsoftware zu erhalten. Diese Taktik verschleiert die bösartige Infrastruktur hinter öffentlichen Blockchain-Aufrufen und erschwert so routinemäßige Scans und die Reaktion auf Sicherheitsvorfälle.
Die beiden Pakete colortoolsv2 und mimelib2 tauchten im Juli 2025 auf und wurden schnell wieder aus dem Repository entfernt. Laut Recherchen des Software-Lieferkettenunternehmens ReversingLabs zielte der Code auf Entwickler im Krypto-Ökosystem ab und fungierte als schlanker Downloader, der seine Netzwerkaktivität mit gewöhnlichen On-Chain-Abfragen vermischte.
Was Forscher herausgefunden haben
Anstatt Endpunkte fest zu kodieren, bezogen die Pakete die URLs der nächsten Stufe von einem Ethereum-Smart-Contract, sobald sie ausgeführt oder als Abhängigkeit importiert wurden. Diese Umgehungsmethode ähnelt früheren Tarntechniken wie EtherHiding und ermöglichte es der Bedrohung, sich als legitimer Blockchain-Verkehr auszugeben . Während das schädliche Verhalten im npm-Code offensichtlich war, bemühten sich die zugehörigen GitHub-Projekte umso mehr, glaubwürdig zu wirken.
Wie die On-Chain-Indirektion funktionierte
Die Ermittler stellten fest, dass colortoolsv2 einen minimalen Loader (einschließlich einer index.js-Routine) auslieferte, der einen On-Chain-Smart-Contract nach einem String-Wert abfragte, der den Download-Speicherort der zweiten Stufe repräsentierte. Der Smart-Contract unter 0x1f171a1b07c108eae05a5bccbe86922d66227e2b enthielt Lesefunktionen, die eine URL zurückgaben. Diese URL nutzte der Loader anschließend, um eine Payload von einem vom Angreifer kontrollierten Server abzurufen.
Nachdem npm colortoolsv2 Anfang Juli blockiert hatte, führten die Betreiber mimelib2 ein , das nahezu dieselbe Logik und dieselbe Vertragsreferenz aufwies. Dadurch minimierten sie die Änderungen und behielten ihren Kontrollkanal bei. Die zweite Komponente wurde nach dem Abruf ausgeführt, und ihr Hash wurde von Forschern zur Erkennung und forensischen Analyse verknüpft.
Ein koordinierter GitHub-Köder
Die npm-Uploads wurden über ein Netzwerk betrügerischer GitHub-Repositories verbreitet , die automatisierte Handelstools wie solana‐trading‐bot‐v2, ethereum‐mev‐bot‐v2, arbitrage‐bot und hyperliquid‐trading‐bot bewarben. Die Accounts hinter diesen Projekten wiesen Aktivitätsmuster auf, die authentisch wirken sollten: aufgeblähte Sterne- und Beobachterzahlen, häufige Commits (teilweise trivial) und mehrere aufgeführte Maintainer.
Analysten bringen diese Verbreitungsaktion mit dem sogenannten Stargazers Ghost Network in Verbindung , einem Distribution-as-a-Service-Cluster, der massenhaft Repositories mit Sternen markiert, forkt, beobachtet und Änderungen committet, um deren Sichtbarkeit zu erhöhen. Einige in den Commit-Historien genannte Benutzer haben die schädlichen Abhängigkeiten direkt hinzugefügt, und mindestens ein zugehöriges GitHub-Konto wurde inzwischen gesperrt.
Warum dies den routinemäßigen Verteidigungsmaßnahmen entging
Da der Angreifer eine öffentliche Blockchain konsultierte , um seine Anweisungen zu erhalten, waren Standardfilter und URL-Sperrlisten weniger wirksam. Viele Sicherheitstools erkennen schreibgeschützte Vertragsaufrufe nicht, und der Angreifer konnte die Hosting-Endpunkte wechseln, indem er On-Chain-Daten aktualisierte, anstatt den Paketcode oder die zentrale Infrastruktur zu verändern . Diese Kombination erhöht die Hürden für Erkennung und Abschaltung.
Forscher stellten fest, dass ähnliche Ideen bereits zuvor bei Krypto-bezogenen Operationen aufgetaucht sind. Die Nutzung eines Smart Contracts zur Bereitstellung von C2-Servern für npm-Malware markiert jedoch eine bemerkenswerte Veränderung in der Vorgehensweise bei der Untersuchung von Open-Source-Ökosystemen. Dokumentierte Krypto-bezogene Kampagnen auf öffentliche Repositories nahmen 2024 zu, mit mehr als zwanzig registrierten Fällen. Dieser Vorfall zeigt, dass die Techniken immer ausgereifter werden.
Kompromittierungsindikatoren (IoCs)
Folgende Kennungen wurden mit der Kampagne verknüpft und können bei der Bedrohungsanalyse und -erkennung hilfreich sein:
- npm colortoolsv2-Versionen: 1.0.0 (SHA1 678c20775ff86b014ae8d9869ce5c41ee06b6215), 1.0.1 (SHA1 1bb7b23f45ed80bce33a6b6e6bc4f99750d5a34b), 1.0.2 (SHA1 db86351f938a55756061e9b1f4469ff2699e9e27)
- npm mimelib2 Versionen: 1.0.0 (SHA1 bda31e9022f5994385c26bd8a451acf0cd0b36da), 1.0.1 (SHA1 c5488b605cf3e9e9ef35da407ea848cf0326fdea)
- Nutzlast der zweiten Stufe: SHA1 021d0eef8f457eb2a9f9fb2260dd2e39ff009a21
- Intelligenter Vertrag: 0x1f171a1b07c108eae05a5bccbe86922d66227e2b
Auswirkungen auf Entwickler und empfohlene Prüfungen
Für Teams, die auf npm angewiesen sind, verdeutlicht dieser Fall, dass Popularitätssignale manipuliert werden können . Überprüfen Sie die Maintainer und Commit-Historie, untersuchen Sie aktuelle Releases auf ungewöhnliches Installations- oder Nachinstallationsverhalten und prüfen Sie Abhängigkeiten, die Blockchain-API-Aufrufe oder dynamische Netzwerkanfragen zur Laufzeit durchführen.
Organisationen sollten Paket-Zulassungslisten , Integritätssicherung (einschließlich Hashes für transitive Abhängigkeiten) und reproduzierbare Builds mit statischer und Verhaltensanalyse kombinieren. Netzwerküberwachung, die unerwartete ausgehende Aufrufe an RPC-Anbieter oder plötzlichen Datenverkehr zu unbekannten Domains erkennt, kann ebenfalls Missbrauch von On-Chain-Indirektion aufdecken.
Bevor Sie Tools einsetzen, die als Trading-Bots oder MEV-Helfer vermarktet werden, überprüfen Sie, ob die referenzierten Konten und Repositories eine nachweisbare Erfolgsbilanz aufweisen und nicht nur kurzfristige Aktivität über einige Tage verzeichnen. Laden Sie Pakete lokal herunter, um sie manuell zu prüfen, suchen Sie nach verschleierten Loadern und achten Sie auf Code, der auf den Speicher von Smart Contracts zugreift, um ausführbare URLs zu erhalten.
Die Forscher empfehlen außerdem, alle On-Chain-Referenzen, die von Build- oder Laufzeitskripten verwendet werden, abzubilden, auf Aktualisierungen des Vertragsstatus zu achten , die Downloads umleiten könnten, und IoCs intern zu dokumentieren, damit Warnungen auch dann bestehen bleiben, wenn öffentliche Einträge oder Konten entfernt werden.
Zusammengenommen verdeutlichen die Ergebnisse, wie Ethereum Smart Contracts als flexibles Relais für C2-Informationen umfunktioniert wurden, wie npm und GitHub in den Bereitstellungsprozess integriert wurden und warum eine gründlichere Pakethygiene sowie eine On-Chain-fähige Überwachung heute Grundvoraussetzungen für Entwicklungsteams sind, die mit Open-Source- und Krypto-Tools arbeiten.
