NullReceiver versteckt Malware-Server in leeren Ethereum-Transfers : Manipulierte npm-Pakete lesen die Adresse ihres Kontrollservers aus der Blockchain aus
Eine neue Variante der blockchainbasierten Command-and-Control-Technik (C2) EtherHiding verschiebt den Schadcode nicht in Smart-Contracts, sondern tarnt eine IP-Adresse als Empfänger einer wertlosen Ethereum-Transaktion. Die Methode hinterlässt kaum charakteristische Merkmale und erschwert damit klassische Sperr- und Erkennungsverfahren.
Die manipulierten npm-Pakete bianira-ui und fluid-type-ui haben eine Technik namens “NullReceiver” genutzt. Diese Bezeichnung kommt vom Entdecker der Technik OpenSourceMalware. Statt die Adresse des Command-and-Control-Servers (C2) fest im JavaScript-Code zu speichern, ermitteln die Bibliotheken sie zur Laufzeit aus einer öffentlichen Ethereum-Transaktion. Beide Pakete wurden inzwischen aus npm entfernt. Seit ihrer Veröffentlichung am 28. Juli 2026 verzeichneten sie jedoch mehrere Hundert Downloads:
- bianira-ui: 109 Downloads, veröffentlicht durch npmuser1101
- fluid-type-ui: 587 Downloads, veröffentlicht durch npmuser3002
Der Einsatz von sogenanntem EtherHiding durch nordkoreanische Hackergruppen wurde schon Ende vergangenen Jahres von der Google Threat Intelligence Group (GTIG) im Zusammenhang mit Contagious Interview ausführlich beschrieben. Bei dieser seit Längerem laufenden Kampagne sprechen die Angreifer potenzielle Opfer über LinkedIn mit lukrativen Stellenangeboten an und fordern sie anschließend zu einem Eignungstest auf, der letztlich zur Installation von Schadsoftware führt. Besonders im Fokus stehen Entwickler sowie Beschäftigte aus der Technologie- und Kryptobranche. Laut MITRE ATT&CK ist die Kampagne seit 2023 aktiv.
IP-Adresse als scheinbarer Ethereum-Empfänger
Auf einem infizierten System führt der JavaScript-Code folgende Schritte aus:
- Fest hinterlegte Angreifer-Wallet abfragen:
0xa322e5f3d311d3080e6f0121063e9adc2490ef1a - Neueste ausgehende Transaktion ermitteln
- Empfängeradresse dieser Transaktion auslesen
- Die ersten vier Adressbytes von Hexadezimalwerten in Dezimalzahlen umwandeln
- Verbindung zur decodierten C2-Adresse 166.88.134[.]62 herstellen
Die untersuchte Empfängeradresse lautet: 0xa658863ea658863e68656c6c6f6970626f742121 – die ersten vier Bytes a6 58 86 3e ergeben dezimal 166.88.134.62. Die restlichen Hexadezimalwerte stehen im ASCII-Format für helloipbot!!. Die Adresse repräsentiert daher keinen tatsächlichen Empfänger; sie dient ausschließlich als Datenträger für die IP-Adresse. OpenSourceMalware bestätigte durch statische Analyse der Pakete sowohl die abgefragte Wallet als auch die daraus gewonnene C2-IP.
Leere Transaktion statt Smart Contract
NullReceiver basiert auf EtherHiding jedoch mit entscheidenden Weiterentwicklungen. Die 2023 von Guardio Labs dokumentierte Technik speichert Schadcode, URLs oder Steuerinformationen in Smart Contracts auf öffentlichen Blockchains wie der BNB Smart Chain oder Ethereum. Die Blockchain wird damit zu einer dezentralen, schwer abschaltbaren C2-Infrastruktur. NullReceiver benötigt dagegen keinen Smart Contract, keine Nutzdaten im Calldata-Feld, keine Geldübertragung und auch keine festgelegte Empfänger-Wallet. Wie der OpenSourceMalware-Sicherheitsexperte Paul McCarty erläutert, liest die Malware lediglich die jüngste ausgehende Transaktion der Angreifer-Wallet und decodiert die C2-IP direkt aus deren Empfängeradresse. Die Übertragung enthält einen Wert von null und keine zusätzlichen Daten (daher der Name “NullReceiver”).
Bei früheren EtherHiding-Varianten konnten Sicherheitsteams bekannte Smart Contracts oder Empfängeradressen gezielt überwachen und neue Transaktionen auf verdächtige Daten prüfen. NullReceiver erschwert das: Für jede neue C2-Adresse können die Angreifer eine bislang unbekannte Scheinadresse verwenden. Dadurch fehlt eine feste Adresse, die sich dauerhaft beobachten oder blockieren lässt.
Billiger und unauffälliger – aber eingeschränkt
Calldata verursacht zwar abhängig von der Datenmenge zusätzliche Transaktionsgebühren. Eine leere Übertragung ist dennoch günstiger und weist kein Datenfeld auf, dessen Struktur sich als Signatur nutzen ließe: „Es gibt kein Feld, das sich per Fingerabdruck erkennen ließe, weil es überhaupt kein solches Feld gibt“, erklärt OpenSourceMalware. Diese Tarnung hat allerdings technische Grenzen: EtherHiding kann vollständige URLs, Skripte oder größere Konfigurationen transportieren. NullReceiver bringt in seiner aktuellen Form nur wenige Bytes unter – ausreichend für eine IPv4-Adresse, aber nicht für umfangreiche Schadsoftware. Bis zur Analyse waren seit dem 27. Juli 2026 insgesamt 68 zugehörige Transaktionen erfolgt.
Schutz beginnt in der Software-Lieferkette
Die Blockchain liefert in diesem Szenario also nicht die Schadsoftware selbst, sondern einen dynamischen Wegweiser zum C2-Server. Unternehmen sollten deshalb:
- npm-Abhängigkeiten vor der Installation auf Herkunft, Alter und ungewöhnliche Installationsskripte prüfen
- Lockfiles, interne Paketspiegel und freigegebene Versionslisten einsetzen
- ausgehende Blockchain-RPC- und API-Aufrufe aus Entwicklungsumgebungen überwachen
- Verbindungen von Node.js-Prozessen zu unbekannten IP-Adressen protokollieren
- entfernte oder nachträglich als bösartig erkannte Pakete in Software Bills of Materials suchen
- Entwicklungsaufgaben aus Bewerbungsprozessen nur in isolierten Containern ohne Zugangsdaten ausführen
Bei der von Google im vergangenen Jahr beobachteten EtherHiding-Kampagne zeigte sich: Die Schadsoftware kommuniziert meist nicht direkt mit der Blockchain, sondern nutzt zentrale Vermittlungsdienste. Solche Remote-Procedure-Call- oder Programmierschnittstellen-Dienste (RPC/API) nehmen Anfragen entgegen und liefern die gespeicherten Transaktions- oder Smart-Contract-Daten zurück. Für Sicherheitsteams entstehen dadurch weiterhin Ansatzpunkte: Zwar lassen sich Einträge auf einer öffentlichen Blockchain nachträglich kaum entfernen und die Blockchain selbst nicht abschalten. Der Zugriff auf bekannte RPC- oder API-Anbieter kann jedoch überwacht, eingeschränkt oder blockiert werden. Auffällige Blockchain-Abfragen aus Entwicklungsumgebungen oder von Node.js-Prozessen können daher wichtige Hinweise auf einen Angriff liefern.