وفقًا لتقارير حديثة، قام مجرمو الإنترنت بتطوير طريقة متطورة لتوزيع البرمجيات الخبيثة من خلال العقود الذكية لإثيريوم، متجاوزين عمليات الفحص الأمنية التقليدية. وقد تم تحديد هذه التطورات في الهجمات السيبرانية من قبل باحثي الأمن السيبراني في ReversingLabs، الذين اكتشفوا برنامجًا ضارًا مفتوح المصدر في مستودع Node Package Manager (NPM)، وهي مجموعة شاملة من الحزم والمكتبات JavaScript.

سلطت الباحثة في ReversingLabs، لوسيا فالنتيتش، الضوء في منشور حديث على أن حزم البرمجيات الخبيثة، التي تُسمى "colortoolsv2" و"mimelib2"، تستخدم العقود الذكية لإثيريوم لإخفاء الأوامر الخبيثة. تعمل هذه الحزم، التي تم نشرها في يوليو، كأدوات تحميل تحصل على عناوين خوادم القيادة والتحكم من العقود الذكية بدلاً من استضافة روابط خبيثة مباشرة. تُعقّد هذه الطريقة جهود الكشف، حيث يبدو أن حركة مرور سلسلة الكتل شرعية، مما يسمح للبرمجيات الخبيثة بتثبيت برامج تحميل على الأنظمة المخترقة.

إن استخدام العقود الذكية من إثيريوم لاستضافة الروابط التي تحتوي على الأوامر الخبيثة يمثل تقنية جديدة في تنفيذ البرمجيات الخبيثة. أشار فالينتيć إلى أن هذه الطريقة تمثل تغييرًا كبيرًا في استراتيجيات التهرب من الكشف، حيث يستغل اللاعبون الخبيثون بشكل متزايد مستودعات التعليمات البرمجية المفتوحة والمطورين. تم استخدام هذه التكتيك سابقًا من قبل مجموعة لازاروس المرتبطة بكوريا الشمالية في وقت سابق من هذا العام، ولكن النهج الحالي يظهر تطورًا سريعًا في متجهات الهجوم.

حزم البرمجيات الخبيثة هي جزء من حملة خداع أوسع تعمل بشكل رئيسي من خلال GitHub. لقد أنشأ مجرمو الإنترنت مستودعات مزيفة لروبوتات تداول العملات المشفرة، مقدّمين إياها على أنها موثوقة من خلال التزامات مزيفة، وحسابات مستخدمين وهمية، والعديد من حسابات المشرفين، ووصف ومشاريع تبدو احترافية. تهدف هذه الاستراتيجية المعقدة للهندسة الاجتماعية إلى التهرب من طرق الكشف التقليدية من خلال دمج تكنولوجيا blockchain مع الممارسات الخادعة.

في عام 2024، وثق الباحثون في الأمن 23 حملة خبيثة مرتبطة بالعملات المشفرة في مستودعات الشيفرة المفتوحة. ومع ذلك، تسلط هذه الطريقة الأخيرة من الهجوم الضوء على التطور المستمر للهجمات على المستودعات. بخلاف إثيريوم، تم استخدام تكتيكات مماثلة على منصات أخرى، مثل مستودع مزيف على GitHub كان يتظاهر بأنه روبوت تداول على سولانا، والذي وزع البرمجيات الخبيثة لسرقة بيانات اعتماد محافظ العملات المشفرة. بالإضافة إلى ذلك، هاجم القراصنة "Bitcoinlib"، وهي مكتبة بايثون مفتوحة المصدر مصممة لتسهيل تطوير بيتكوين، مما يوضح بشكل أكبر الطبيعة المتنوعة والقابلة للتكيف لهذه التهديدات السيبرانية.