Sonatype Research Labs telah menerbitkan hasil penelitian yang menunjukkan bahwa enam paket npm menerima alamat server komando dan kontrol mereka dari dompet Ethereum milik penyerang.
Tiga dari enam paket tersebut adalah pustaka terkenal yang telah disusupi secara diam-diam oleh penyerang. Siapapun yang telah menginstal versi yang terpengaruh harus menghapusnya dan memeriksa adanya kode tahap lanjut yang mungkin telah dieksekusi.
Penyerang Menyusupi Tiga Pustaka Asli
Peneliti Sonatype Adam Reynolds menyatakan bahwa keenam paket ini dapat dikategorikan menjadi dua kelompok.
Tampaknya akun penerbit dari pustaka-pustaka nyata telah dikompromikan untuk mendistribusikan versi palsu.
Itu adalah @kolbo/mcp@1.57.1, agentgui@1.0.1127, dan godot-kit@1.0.1786316795. Mereka menyisipkan loader di akhir file yang sudah ada dalam paket, sehingga tetap mempertahankan fungsionalitas aslinya.
Tiga sisanya adalah paket yang dibuat khusus untuk menyebarkan malware. Itu adalah envpack-conf@1.0.1, postcss-initial-provider@3.0.4, dan tailwindcss-motion-advanced@1.0.1.
Paket pertama berisi utilitas konfigurasi, yang kedua adalah plugin PostCSS yang berfungsi, dan paket terakhir menempatkan loader dalam file utilitas yang telah diminiaturkan.
Sonatype mengonfirmasi bahwa keenam blok kode tersebut menggunakan payload dan dompet Ethereum yang sama.
Ketika korban menjalankan kode, loader akan meminta informasi tentang transaksi keluar terbaru dari dompet Ethereum dan mengekstrak byte dari bidang penerima transaksi tersebut.
Byte-byte ini dikonversi menjadi dua alamat IPv4. Mereka berfungsi sebagai server komando dan kontrol utama dan cadangan untuk malware tersebut. Transaksi tersebut dilakukan semata-mata untuk menyimpan petunjuk tentang ke mana malware harus terhubung.
Para peneliti Sonatype menyatakan bahwa loader mengakses beberapa node Ethereum secara bersamaan dan bersaing satu sama lain. Kemudian menggabungkan permintaan JSON-RPC-nya menjadi batch dan beralih ke API Blockscout jika permintaan langsung gagal.
Setelah mendeteksi server, loader melakukan dua upaya lagi pada endpoint `/0x/cls` dan `/0x/ls`, kembali ke header respons `X-Payload-B64` jika permintaan GET biasa tidak membuahkan hasil.
Hasilnya mengembalikan hasil dekode Base64 dan XOR, yang kemudian dieksekusi dalam proses Node.js saat ini menggunakan fungsi `eval()` atau dijalankan sebagai proses anak terpisah.
NullReceiver adalah Versi EtherHiding yang Lebih Ringkas
Skema pengambilan data dari blockchain ini ditemukan oleh OpenSourceMalware dalam dua klon Tailwind CSS yang telah di-trojan, bianira-ui dan fluid-type-ui, dan dinamai NullReceiver.
Perusahaan menghubungkan aktivitas ini dengan kampanye 'Wawancara Menular' yang dikaitkan dengan Korea Utara dan grup Lazarus. Sonatype mengonfirmasi kecocokan data dompet.
NullReceiver menghilangkan kerentanan dalam EtherHiding — sebuah metode yang menurut Google Threat Intelligence dikembangkan oleh aktor yang dikaitkan dengan Korea Utara pada Oktober 2025.
EtherHiding menyembunyikan rahasia di dalam bidang data transaksi dan selalu mengirim dana ke alamat publik pembakaran Ethereum, memberikan titik referensi tetap bagi para pembela untuk dipantau.
NullReceiver tidak mengirim dana dan tidak menggunakan kembali tujuan. Dalam potongan kode yang didekonstruksi oleh OpenSourceMalware, byte penerima didefinisikan sebagai 166.88.134.62, dan byte akhir membentuk string "helloipbot!!", yang merupakan sidik jari penyerang.
Pada September 2025, Cryptopolitan melaporkan bahwa ReversingLabs menemukan loader npm colortoolv2 dan mimelib2, yang menyembunyikan URL malware di dalam kontrak pintar Ethereum dan dikaitkan dengan Ghost Network dari Stargazer.
Sonatype menyatakan bahwa mereka terus menyelidiki aktivitas terkait npm. Pengembang yang terdampak harus menghapus paket npm yang ditandai. Mereka juga harus memperhatikan tanda-tanda eksekusi payload tahap kedua.
