NullReceiver: la tactique que l'IP C2 cache dans les directions de destination d'Etheum

Les chercheurs en cybersécurité ont détecté une forte variation de la technique appelée EtherHering : une méthode qui profite de la nature publique des blockchains comme Etherium pour transférer des instructions de commande et de contrôle (C2) sans recourir à des serveurs traditionnels. La nouvelle tactique, baptisée comme NullReceiver par le groupe OpenSourceMalware, se dispense complètement de contrats intelligents ou de champs de données dans les transactions et, à la place, coder l'adresse IP du C2 dans les octets de l'adresse de destination d'un transfert de valeur Etheum et des données nulles. Cela réduit le coût du gaz, élimine les champs évidents où vous recherchez des charges utiles et rend difficile de créer des impressions statiques que les défenseurs peuvent surveiller.

Dans la chaîne d'événements décrits par les analystes, les bibliothèques malveillantes JavaScript publiées dans npm - identifiés comme bianira-ui et fluid-type-ui - ont porté un code capable de localiser un portefeuille d'attaquant fixe dans la chaîne de verrouillage, en lisant sa dernière transaction sortante et extraire l'adresse IP des quatre premiers octets hexadécimaux de l'adresse « To » de cette transaction. Cette adresse n'existe pas pour recevoir des fonds; sa seule fonction est de servir de conteneur binaire qui encode, par exemple, "a658863e" → 166.88.134.62 et, dans le reste des octets, d'inclure une étiquette lisible ("helloipbot!") pour l'auteur. Les librairies ont été retirées du registre, mais avaient déjà été téléchargées des centaines de fois après leur publication à la fin de juillet 2026.

NullReceiver représente une escalade tactique à l'égard d'EtherHering, documentée publiquement en 2023, car elle élimine la composante qui a permis aux équipes d'intervention de marquer et de poursuivre une destination publique connue. Alors qu'EtherHering pourrait héberger des URL ou des scripts complets dans calldata ou des contrats, NullReceiver seulement transporter quelques octets utiles mais le fait de sorte qu'il n'y a pas de "champ" à suivre; chaque transaction utilise une adresse de destination différente et jetable, ce qui complique les règles de verrouillage basées sur les modèles de transaction.

L'utilisation de la chaîne de verrouillage comme canal C2 n'est pas nouvelle dans les campagnes sophistiquées et a été associée par des équipes de renseignement avec des acteurs parrainés par l'État - dans ce cas, les signaux publics relient l'activité aux campagnes nord-coréennes qui ont utilisé des subterfuges dans des réseaux professionnels et des paquets malveillants pour réaliser l'exécution à distance. La nouveauté technique est dans le raffinement : des transactions minimales, bon marché et apparemment inoffensives qui n'ont de sens que lorsqu'un client engagé applique la logique inverse et convertit des octets de direction en une adresse IP.

Pour les défenseurs et les responsables du développement, la principale leçon est double : la zone d'attaque dans la chaîne d'approvisionnement du code a évolué, et les signaux conventionnels dans la chaîne de verrouillage (contrats réutilisables, données d'appel suspectes, domaines publics) ne sont plus une garantie de détection. Les audits statiques conventionnels peuvent ignorer le code qui effectue seulement des opérations cryptographiques simples et des consultations aux nœuds publics Il est donc nécessaire de compléter le contrôle d'intégrité du code par des contrôles de performance et de réseau dans le paramètre.

Je recommande que les équipes de développement et de sécurité de l'entreprise mettent en œuvre des mesures pratiques et hiérarchisées : exiger l'approbation et la révision des politiques pour les nouvelles unités, peindre les versions dans les fichiers verrouillés et ne publier que des paquets signés ou des dossiers internes; permettre l'authentification multi-facteurs pour les comptes de publication dans les dépôts publics; utiliser les outils d'analyse de la composition des logiciels (SCA) et le balayage statique pour détecter les modèles suspects tels que les appels aux nœuds Ethereum, l'utilisation des librairies Web 3 ou le décodage des adresses; et également mettre en place des contrôles d'évacuation dans les paramètres qui empêchent les connexions sortantes non autorisées des processus Node.js. Dans les environnements critiques, envisagez l'utilisation de dépôts privés de procurations (par exemple des solutions sur site) pour filtrer et valider les paquets avant la consommation.

Du point de vue de la détection et de la réponse, la tactique force à changer d'attention aux signaux comportementaux : surveiller et alerter les processus qui consultent les API publiques de blockchain, les connexions inattendues aux adresses IP nouvellement créées ou les modèles de résolution d'adresses, et toute tentative de convertir les données hexadécimales en adresses IP dans un code tiers. Les capacités de l'EDR et des règles du réseau doivent être ajustées pour saisir ces anomalies, et les équipes de renseignement des menaces devraient suivre les attaquants connus et leurs transactions, même si cette tâche est maintenant plus laborieuse et moins concluante.

La communauté profite lorsque ce genre de tactique est documenté et partagé, car elle permet d'anticiper les contre-attaques et de resserrer les contrôles avant que les campagnes à grande échelle n'atteignent un impact plus important. Pour ceux qui veulent approfondir le fonctionnement des transactions et pourquoi la blockchain permet un tel abus technique, la documentation officielle Etheum fournit une base solide sur les structures de transaction et de codage: https: / / ethereum.org / fr / développeurs / docs /. Pour comprendre les meilleures pratiques en matière de sécurité de la chaîne d'approvisionnement logicielle et les mesures concrètes d'atténuation, les ressources du projet de sécurité de la chaîne d'approvisionnement du PAOAO sont très utiles : https: / / owasp.org / www-project-Supply-chain-security /.

Bref, NullReceiver rappelle que les attaquants profitent de la transparence des blockchains pour une plus grande résilience opérationnelle et l'anonymat tactique. La défense ne peut plus compter uniquement sur des listes noires statiques: elle nécessite des contrôles dans la phase de développement, la validation du logiciel entrant dans l'organisation, et une couche de détection basée sur le comportement qui bloque les connexions et les processus inhabituels avant un pivot de dépendance engagé dans une plus grande intrusion.