El Grupo de Inteligencia de Amenazas de Google ha identificado una nueva táctica sofisticada empleada por hackers norcoreanos, denominada "EtherHiding". Este método consiste en incrustar código malicioso dentro de contratos inteligentes en redes blockchain públicas para robar criptomonedas y datos sensibles. La técnica, que surgió en 2023, a menudo aprovecha la ingeniería social para atraer a las víctimas a comprometer sus sistemas.
Puntos Clave
-
Los hackers norcoreanos están utilizando una técnica llamada "EtherHiding" para incrustar malware que roba criptomonedas en contratos inteligentes.
-
El ataque a menudo comienza con ingeniería social, como ofertas de trabajo falsas, para dirigir a las víctimas a sitios web maliciosos.
-
Los sitios web comprometidos utilizan funciones blockchain de "solo lectura" para evitar la detección y las tarifas de transacción.
-
El malware puede escalar para robar datos sensibles y proporcionar acceso a largo plazo a los sistemas comprometidos.
El Método de Ataque EtherHiding
Los atacantes comienzan comprometiendo direcciones de sitios web legítimos utilizando un script de carga (Loader Script). Luego inyectan código JavaScript en el sitio web. Este código activa un paquete malicioso separado oculto dentro de un contrato inteligente. Cuando un usuario interactúa con el sitio comprometido, el malware se activa, con el objetivo de robar fondos y datos.
Evadiendo la Detección
Crucialmente, el sitio web comprometido se comunica con la red blockchain utilizando una función de "solo lectura". Esto permite a los actores de amenazas evitar la creación de transacciones reales en el libro mayor, evadiendo así la detección y minimizando las tarifas de transacción asociadas, según los investigadores de Google.
Tácticas de Ingeniería Social
La campaña EtherHiding se dirige frecuentemente a desarrolladores de software y criptomonedas. Los actores de amenazas establecen empresas falsas, agencias de reclutamiento y perfiles en línea para presentar atractivas ofertas de empleo falsas. Las comunicaciones a menudo se trasladan a plataformas como Discord o Telegram, donde se solicita a las víctimas que completen pruebas de codificación o evaluaciones de empleo.
Etapas de Despliegue del Malware
Durante la fase de evaluación técnica, generalmente se instruye a las víctimas a descargar archivos maliciosos de repositorios de código como GitHub. En otros escenarios, los atacantes pueden iniciar una videollamada, mostrar un mensaje de error falso y solicitar al usuario que descargue un parche de software que contiene el código malicioso. Una vez instalado, se despliega un malware de segunda etapa basado en JavaScript conocido como "JADESNOW" para exfiltrar datos sensibles. Para objetivos de alto valor, una tercera etapa puede otorgar a los atacantes acceso persistente a la máquina comprometida y a los sistemas de red conectados.
Fuentes
-
North Korea Hackers Embed Sophisticated Code Exploit in Smart Contracts, Cointelegraph.
-
What is EtherHiding? Google flags malware with crypto-stealing code in smart contracts — TradingView News, TradingView.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.