Severna Koreja krije malver u Ethereumu: Blokčejn postao novo oružje hakera
Hakerske grupe – od kojih najmanje jedna deluje u ime severnokorejske vlade – su pronašle novi i jeftin način da šire malver sa takozvanih „neprobojnih“ servera: kriju ga direktno u javnim blokčejnovima, piše portal Ars Technica.
U objavi istraživača Google Threat Intelligence tima navodi se da ova tehnika napadačima pruža „neprobojni host“ – pojam koji označava servere koje je gotovo nemoguće oboriti ili zapleniti, čak ni akcijama policije ili sajberbezbednosnih agencija. Takvi serveri se obično nalaze u zemljama koje nemaju ugovore o sprovođenju međunarodnih zakona o sajber-kriminalu i često naplaćuju visoke sume, služeći kao utočište za malvere, ilegalne sadržaje i svakojake kriminalce.
Google je od februara primetio dve hakerske grupe koje koriste novu metodu, poznatu kao EtherHiding, koja omogućava skrivanje zlonamernog koda u pametnim ugovorima na Ethereum i drugim blokčejn mrežama. Ti ugovori, koji automatski izvršavaju zadate uslove između strana, postaju neizmenjivi i otporni na brisanje.
„EtherHiding predstavlja pomak ka sledećoj generaciji neprobojnog hostinga, gde se osnovne karakteristike blokčejna koriste u zlonamerne svrhe“, kažu istraživači Robert Volas i Džozef Dobson iz Google-a. „Ova tehnika pokazuje kako se sajber pretnje stalno razvijaju, prilagođavajući novim tehnologijama“.
Ova metoda ima brojne prednosti u odnosu na tradicionalne načine širenja malvera: decentralizacija onemogućava gašenje pametnih ugovora, nepromenljivost onemogućava izmenu ili uklanjanje malvera, transakcije su praktično anonimne, preuzimanje malvera ne ostavlja tragove u logovima, a napadači mogu da ažuriraju zlonamerni kod u svakom trenutku. I sve to uz minimalne troškove – stvaranje ili modifikacija pametnih ugovora košta manje od dva dolara po transakciji.
Google je otkrio da su hakeri kombinovali EtherHiding sa kampanjom socijalnog inženjeringa, nudeći lažne poslove programerima i developerima aplikacija. Kandidati su pozivani da „testiraju svoje veštine“ na fajlovima koji su zapravo sadržali zlonamerni kod. Kada bi ih pokrenuli, malver bi se u više faza instalirao na računar, a završna verzija povlačila se direktno sa pametnih ugovora na Ethereum i BNB Smart Chain mrežama.
Jedna od identifikovanih grupa, UNC5342, povezana sa severnokorejskim hakerima, koristi početni malver JadeSnow, koji zatim preuzima glavne fajlove sa blokčejna. Zanimljivo je da napadači često prelaze s jedne mreže na drugu – na primer, sa Ethereuma na BNB – čime dodatno otežavaju praćenje i analizu, a istovremeno koriste niže naknade na alternativnim mrežama.
Nekada potcenjivana, sajber vojska Severne Koreje poslednjih godina pokazuje zavidnu sofisticiranost i resurse. Zemlja je povezivana sa brojnim globalnim napadima, uključujući krađe kriptovaluta, iznude i napade na finansijske institucije.
Prema analitičkoj firmi Elliptic, severnokorejski hakeri su samo tokom 2025. godine ukrali više od 2 milijarde dolara u kriptovalutama, što dodatno potvrđuje da se ova azijska država sve više oslanja na sajber-krađe kao izvor prihoda.