Was ist passiert?
Sicherheitsforscher haben eine neue Variante der EtherHiding-Technik entdeckt, die Command-and-Control (C2) Server-IP-Adressen in der Blockchain versteckt. Die sogenannte NullReceiver-Taktik wurde in zwei manipulierten npm-Paketen namens „bianira-ui“ und „fluid-type-ui“ gefunden. Dabei wird die C2-Adresse in einer leeren Ethereum-Transaktion kodiert, um der Erkennung zu entgehen.
Hintergrund & Bedeutung
Die Entdeckung zeigt eine besorgniserregende Entwicklung bei Supply-Chain-Angriffen. npm-Pakete sind weit verbreitet in der Softwareentwicklung, weshalb manipulierte Versionen Millionen von Entwicklern erreichen können. Die Nutzung der Blockchain als C2-Infrastruktur ist besonders tückisch, da sie dezentralisiert ist und traditionelle Abwehrmaßnahmen umgeht. Die NullReceiver-Methode nutzt leere Transaktionen als „Dead Drop“ – eine klassische Spionagetaktik, um Kommunikationskanäle zu verstecken.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Überprüfen Sie sofort alle verwendeten npm-Abhängigkeiten auf die betroffenen Pakete. Entfernen Sie „bianira-ui“ und „fluid-type-ui“ aus Ihren Projektabhängigkeiten. Nutzen Sie Package-Management-Tools wie npm audit oder Snyk zur kontinuierlichen Überwachung.
Langfristige Strategien: Implementieren Sie Dependency-Scanning in Ihrer CI/CD-Pipeline. Überprüfen Sie regelmäßig Paketquellen auf verdächtige Aktivitäten. Nutzen Sie private npm-Registries für sensible Projekte und führen Sie strenge Code-Reviews durch.
Fazit
Die NullReceiver-Taktik demonstriert die zunehmende Raffinesse von Supply-Chain-Attacken. Entwicklerteams müssen ihre Abhängigkeitsmanagement-Prozesse verschärfen und kontinuierliche Sicherheitsüberwachung implementieren.
Quelle: Original Artikel