Um agente de ameaças norte-coreano foi encontrado usando uma técnica baseada em blockchain, conhecida como ‘EtherHiding’, para entregar malware para facilitar o roubo de criptomoedas.
EtherHiding é uma técnica em que os invasores incorporam código malicioso, como cargas úteis JavaScript, dentro de um contrato inteligente baseado em blockchain, usando efetivamente o livro-razão descentralizado como um servidor resiliente de comando e controle (C2).
Esta é a primeira vez que o Google Threat Intelligence Group (GTIG) observou um ator de estado-nação adotando esse método, disse em seu blog publicado em 16 de outubro.
O uso do EtherHiding é resiliente contra os esforços convencionais de remoção e lista de bloqueio, explicou o GTIG.
O grupo de inteligência de ameaças rastreia UNC5342 de agentes de ameaças desde fevereiro de 2026, incorporando o EtherHiding em uma campanha de engenharia social em andamento.
EtherHiding Prós para hackers, contras para defensores
O EtherHiding oferece várias vantagens significativas para os invasores, posicionando-o como uma ameaça particularmente desafiadora de mitigar, observou o GTIG.
Um elemento do EtherHiding que é particularmente preocupante é sua natureza descentralizada. O código malicioso é armazenado em um blockchain descentralizado e sem permissão, o que significa que não há servidor central que as empresas de aplicação da lei ou de segurança cibernética possam derrubar.
A identidade de um invasor também é difícil de rastrear devido à natureza pseudônima das transações de blockchain.
Também é difícil remover códigos maliciosos em contratos inteligentes implantados no blockchain, exceto se você for o proprietário do contrato. O invasor que controla o contrato inteligente pode atualizar a carga maliciosa a qualquer momento.
Embora os pesquisadores de segurança tentem alertar a comunidade marcando um contrato como malicioso em scanners oficiais de blockchain (como o aviso no BscScan na Figura 5), atividades maliciosas ainda podem ser realizadas.
Por fim, os invasores podem recuperar a carga maliciosa usando chamadas somente leitura que não deixam um histórico de transações visível no blockchain, dificultando o rastreamento de suas atividades.
O relatório de pesquisa de ameaças disse que o EtherHiding representa uma “mudança para a próxima geração de hospedagem à prova de balas”, onde os recursos inerentes da tecnologia blockchain são usados para fins maliciosos.
EtherHiding faz parte de uma elaborada campanha fraudulenta na Coreia do Norte
O Google vinculou o uso do EtherHiding a uma campanha de engenharia social rastreada pela Palo Alto Networks como ‘Entrevista contagiosa.’
Nesta campanha, o agente da ameaça usamalware JADESNOW para implantar uma variante JavaScript deINVISIBLEFERRET,o que levou a váriosroubos de criptomoedas.
A campanha tem como alvo desenvolvedores nos setores de criptomoedas e tecnologia para roubar dados confidenciais, criptomoedas e obter acesso persistente a redes corporativas.
Ele se concentra em táticas elaboradas de engenharia social que imitam processos de recrutamento legítimos por meio de recrutadores falsos e empresas fabricadas.
Recrutadores falsos atraem candidatos para plataformas como Telegram ou Discord e, em seguida, entregam malware por meio de testes de codificação enganosos ou downloads de software falsos disfarçados de avaliações técnicas ou correções de entrevistas.
A campanha emprega um processo de infecção por malware em vários estágios (envolvendo JADESNOW, BEAVERTAIL e INVISIBLEFERRET) para comprometer o sistema da vítima, geralmente afetando os sistemas Windows, macOS e Linux.