NullReceiver: a tática que oculta o IP do C2 nos endereços de destino do Ethereum

Pesquisadores em cibersegurança descobriram uma variação sigilosa da técnica conhecida como EtherHiding: um método que aproveita a natureza pública de blockchains como Ethereum para transferir instruções de comando e controle (C2) sem recorrer a servidores tradicionais. A nova tática, batizada como NullReceiver pelo coletivo OpenSourceMalware, prescinde por completo de contratos inteligentes ou de campos de dados em transações e, em seu lugar, codifica o endereço IP do C2 dentro dos bytes do endereço de destino de uma transferência Ethereum de valor e dados nulos. Isso reduz o custo em gás, elimina campos evidentes onde procurar payloads e dificulta a criação de impressões estáticas que os defensores possam monitorar.

Na cadeia de eventos descrita pelos analistas, bibliotecas JavaScript maliciosas publicadas em npm — identificadas como bianira-ui e fluid-type-ui — tinham código capaz de localizar uma carteira atacante fixa na blockchain, ler sua transacção saliente mais recente e extrair o endereço IP a partir dos primeiros quatro bytes hexadecimais do endereço "To" dessa transação. Essa direção não existe para receber fundos; sua única função é servir como contentor binário que encodea, por exemplo, "a658863e" → 166.88.134.62 e, no resto de bytes, incluir uma etiqueta legível ("helloipbot!!") para o autor. As livrarias assinaladas foram retiradas do registro, mas já haviam sido descarregadas centenas de vezes após sua publicação no final de julho de 2026.

NullReceiver representa uma escalada tática sobre EtherHiding, documentada publicamente em 2023, porque elimina o componente que permitiu às equipes de resposta marcar e perseguir um destino público conhecido. Enquanto EtherHiding podia hospedar URLs ou scripts completos em calldata ou contratos, NullReceiver transporta apenas alguns bytes úteis, mas faz isso de forma que não há "campo" para rastrear; cada transação usa um endereço de destino diferente e descartável, o que complica as regras de bloqueio baseadas em padrões de transação.

O uso da blockchain como canal de C2 não é novo em campanhas sofisticadas e tem sido associado pelas equipes de inteligência a atores patrocinados por Estados - neste caso, os sinais públicos vinculam a atividade com campanhas norte-coreanas que têm empregado subterfúgios em redes profissionais e pacotes maliciosos para conseguir execução remota. A novidade técnica está no refinamento: transações mínimas, baratas e aparentemente inofensivas que só cobram sentido quando um cliente comprometido aplica a lógica inversa e converte bytes do endereço em um endereço IP.

Para defensores e responsáveis pelo desenvolvimento, a lição principal é dupla: a superfície de ataque na cadeia de fornecimento de código evoluiu, e os sinais convencionais na blockchain (contratos reutilizáveis, calldata suspeito, domínios públicos) já não são garantia de detecção. Auditorias estáticas convencionais podem ignorar o código que apenas realiza operações criptográficas simples e consultas a nós públicos, portanto, é necessário complementar o controle de integridade do código com controles de comportamento e de rede no endpoint.

Recomendo a equipamentos de desenvolvimento e segurança corporativos aplicar medidas práticas e priorizadas: exigir políticas de aprovação e revisão para novas dependências, pinnear versões em lockfiles e publicar apenas pacotes assinados ou desde registros internos; activar autenticação multifator para contas de publicação em repositórios públicos; usar ferramentas de análise de composição de software (SCA) e digitalização estática para detectar padrões suspeitos como chamadas a nós Ethereum, uso de livrorias web3 ou descodificação de endereços; além disso, implementar controles de egress em endpoints que impeçam conexões salientes não autorizadas a partir de processos Node.js. Em ambientes críticos, contemplar o uso de repositórios proxy privados (por exemplo, soluções on-premise) para filtrar e validar pacotes antes do seu consumo.

Da perspectiva de detecção e resposta, a tática obriga a mudar a atenção para sinais de comportamento: monitorar e alertar sobre processos que consultam APIs públicas de blockchain, conexões inesperadas a endereços IP recém-criados ou padrões de resolução de endereços, e qualquer tentativa de converter dados hexadecimais em endereços IP dentro de código de terceiros. As capacidades de EDR e as regras de rede devem ser ajustadas para captar estas anomalias, e as equipas de inteligência de ameaças devem rastrear carteiras de atacantes conhecidas e suas transações, embora essa tarefa seja agora mais laboriosa e menos conclusiva.

A comunidade beneficia quando esta classe de táticas se documenta e compartilha, porque permite antecipar contra-ataques e endurecer controles antes de campanhas em grande escala atingirem maior impacto. Para quem quiser aprofundar a forma como as transações funcionam e porque a blockchain permite este tipo de abusos técnicos, a documentação oficial do Ethereum oferece uma base sólida sobre estruturas de transação e codificação: https://ethereum.org/en/developers/docs/. Para entender melhores práticas em segurança da cadeia de fornecimento de software e medidas concretas de mitigação, os recursos do projeto OWASP Supply Chain Security são muito úteis: https://owasp.org/www-project-supply-chain-security/.

Em suma, NullReceiver é um lembrete de que os atacantes aproveitam a transparência de blockchains para maior resiliência operacional e anonimato táctico. A defesa já não pode confiar apenas em listas negras estáticas: requer controles na fase de desenvolvimento, validação do software que entra na organização, e uma camada de detecção baseada em comportamento que bloquee conexões e processos incomuns antes de uma dependência comprometida pivote para uma intrusão maior.