NullReceiver: die Taktik, dass sich die C2 IP in den Zielrichtungen von Etheum versteckt

Cybersecurity-Forscher haben eine scharfe Variation der Technik als EtherHering erkannt: ein Verfahren, das die Öffentlichkeit von Blockchains wie Etherium nutzt, um Befehls- und Steuerbefehle (C2) zu übertragen, ohne auf traditionelle Server zurückgreifen zu müssen. Die neue Taktik, getauft als Nicht verfügbar von der Gruppe OpenSourceMalware verzichtet auf Smart Contracts oder Datenfelder bei Transaktionen und stattdessen die IP-Adresse des C2 innerhalb der Bytes der Zieladresse einer Etheum-Wertübertragung und null Daten kodieren. Dies reduziert die Kosten für Gas, eliminiert offensichtliche Felder, wo Sie nach Nutzlasten suchen und macht es schwierig, statische Drucke zu erstellen, die Verteidiger überwachen können.

In der Kette von Ereignissen beschrieben von Analysten, bösartige JavaScript-Bibliotheken veröffentlicht in npm - identifiziert als bianira-ui und fluid-typ-ui - Code in der Lage, eine feste Angreifer Brieftasche in der Schlosskette zu lokalisieren, lesen ihre neueste ausgehende Transaktion und die IP-Adresse aus den ersten vier hexadezimalen Bytes der "To"-Adresse dieser Transaktion. Diese Adresse existiert nicht, um Geld zu erhalten; ihre einzige Funktion ist, als binäres Behältnis zu dienen, das z.B. "a658863e" → 166.88.134.62 kodiert und im übrigen Bytes ein lesbares Label ("Helloipbot!!") für den Autor einschließt. Die Buchhandlungen wurden aus dem Register entfernt, wurden aber bereits Hunderte Male nach ihrer Veröffentlichung Ende Juli 2026 heruntergeladen.

NullReceiver stellt eine taktische Eskalation in Bezug auf EtherHering dar, die im Jahr 2023 öffentlich dokumentiert ist, weil es die Komponente eliminiert, die Antwortteams erlaubt, ein bekanntes öffentliches Ziel zu markieren und zu verfolgen. Während EtherHering URLs oder vollständige Skripte in Calldata oder Verträgen hosten konnte, NullReceiver nur ein paar nützliche Bytes zu transportieren, aber tut so, dass es kein "Feld" zu verfolgen; jede Transaktion verwendet eine andere und verfügbare Zieladresse, die die Sperrregeln auf Basis von Transaktionsmustern kompliziert.

Die Verwendung von lockchain als C2-Kanal ist nicht neu in anspruchsvollen Kampagnen und wurde von Nachrichtenteams mit staatlichen Akteuren verbunden - in diesem Fall, öffentliche Signale verbinden die Aktivität zu nordkoreanische Kampagnen, die Subterfugen in professionellen Netzwerken und bösartige Pakete verwendet haben, um Remote-Ausführung zu erreichen. Die technische Neuheit ist in der Verfeinerung: minimale, billige und scheinbar harmlose Transaktionen, die nur dann sinnvoll sind, wenn ein engagierter Kunde die umgekehrte Logik anwendet und Richtungsbytes in eine IP-Adresse umwandelt.

Für Verteidiger und Entwicklungsleiter ist die Hauptstunde doppelt: der Angriffsbereich in der Code-Versorgungskette hat sich entwickelt, und herkömmliche Signale in der Lockchain (reusable Contracts, verdächtige Calldata, öffentliche Domains) sind nicht mehr eine Garantie für die Erkennung. Konventionelle statische Audits können Code übersehen, der nur einfache kryptographische Operationen und Konsultationen an öffentliche Knoten durchführt Daher ist es notwendig, die Integritätskontrolle des Codes mit Leistungs- und Netzsteuerungen im Endpunkt zu ergänzen.

Ich empfehle, dass Unternehmensentwicklungs- und Sicherheitsteams praktische und prioritäre Maßnahmen implementieren: Genehmigungs- und Überprüfungsrichtlinien für neue Einheiten, Lackversionen in Lockfiles benötigen und nur unterzeichnete Pakete oder interne Aufzeichnungen veröffentlichen; Multi-Faktor-Authentifizierung für Veröffentlichungskonten in öffentlichen Repositorien ermöglichen; Software-Zusammensetzungsanalyse-Tools (SCA) und statisches Scann, um verdächtige Muster wie Anrufe an Etherego-Knoten, Nutzungs, Nutzungs, Nutzungs, Nutzung von Webbuchhandlungen, Nutzung von Web-Prozessen, Nutzung von Webbuchhandlungen, Nutzung von Webbuchhandlungen 3 oder Adressdekonten 3 oder Adressdecodierungen zu erkennen. In kritischen Umgebungen sollten private Proxy-Repositorien (z.B. On-Premises-Lösungen) verwendet werden, um Pakete vor dem Verbrauch zu filtern und zu validieren.

Aus der Perspektive der Erkennung und Reaktion, die Taktik Kräfte, um die Aufmerksamkeit auf Verhaltenssignale zu ändern: zu überwachen und Warnung Prozesse, die öffentliche Blockchain-APIs, unerwartete Verbindungen zu neu erstellten IP-Adressen oder Adressauflösungsmuster, und jeder Versuch, hexadezimale Daten in IP-Adressen innerhalb von Drittanbieter-Code konvertieren. Die Fähigkeiten der EDR- und Netzwerkregeln müssen angepasst werden, um diese Anomalien zu erfassen, und Bedrohungsintelligenzteams sollten bekannte Angreifer und ihre Transaktionen verfolgen, auch wenn diese Aufgabe jetzt mühsamer und weniger schlüssig ist.

Die Gemeinschaft profitiert, wenn diese Art von Taktik dokumentiert und geteilt wird, weil sie es ermöglicht, Gegenangriffe zu verhindern und Kontrollen zu verschärfen, bevor groß angelegte Kampagnen größere Auswirkungen erzielen. Für diejenigen, die vertiefen wollen, wie Transaktionen funktionieren und warum die Blockchain einen solchen technischen Missbrauch ermöglicht, bietet die offizielle Etheum-Dokumentation eine solide Grundlage auf Transaktions- und Kodierungsstrukturen: https: / / Ethereum.org / en / Entwickler / docs /. Um die besten Praktiken in der Software-Versorgungskette Sicherheit und konkrete Minderungsmaßnahmen zu verstehen, sind die Ressourcen des OWASP Supply Chain Security Projekts sehr nützlich: https: / / owasp.org / www-project-supply-chain-security /.

Kurz gesagt, NullReceiver ist eine Erinnerung daran, dass die Angreifer die Transparenz von Blockchains für eine größere operative Widerstandsfähigkeit und taktische Anonymität nutzen. Die Verteidigung kann sich nicht mehr nur auf statische Schwarzlisten verlassen: sie erfordert Steuerungen in der Entwicklungsphase, Validierung der in die Organisation einlaufenden Software und eine verhaltensbasierte Detektionsschicht, die ungewöhnliche Verbindungen und Prozesse blockiert, bevor eine engagierte Abhängigkeit zu einem größeren Eindringen schwenkt.