Malware Explota Contratos Inteligentes de Ethereum para Evadir Detección

Nueva Amenaza para la Seguridad Blockchain

Los ciberdelincuentes han desarrollado un sofisticado método para distribuir software malicioso a través de contratos inteligentes de Ethereum, eludiendo los escaneos de seguridad tradicionales. Esta evolución en los ciberataques ha sido identificada por investigadores de ciberseguridad de ReversingLabs, quienes descubrieron nuevo malware de código abierto en el repositorio Node Package Manager (NPM), una vasta colección de paquetes y bibliotecas JavaScript.

Mecanismo Técnico del Ataque

La investigadora de ReversingLabs, Lucija Valentić, destacó en una publicación reciente que los paquetes maliciosos, denominados "colortoolsv2" y "mimelib2", utilizan contratos inteligentes de Ethereum para ocultar comandos maliciosos. Estos paquetes, publicados en julio, funcionan como descargadores que recuperan direcciones de servidores de comando y control desde contratos inteligentes en lugar de alojar directamente enlaces maliciosos.

Esta técnica complica significativamente los esfuerzos de detección, ya que el tráfico blockchain aparece legítimo, permitiendo que el malware instale software descargador en sistemas comprometidos sin levantar alertas en los sistemas de seguridad tradicionales.

Evolución en las Estrategias de Evasión

El uso de contratos inteligentes de Ethereum para alojar URLs donde se encuentran los comandos maliciosos representa una técnica novedosa en el despliegue de malware. Valentić señaló que este método marca un cambio significativo en las estrategias de evasión de detección, ya que los actores maliciosos explotan cada vez más repositorios de código abierto y desarrolladores.

Esta táctica fue empleada anteriormente por el grupo Lazarus, vinculado a Corea del Norte, a principios de este año. Sin embargo, el enfoque actual demuestra una rápida evolución en los vectores de ataque, incorporando tecnología blockchain para aumentar su efectividad.

Campaña de Ingeniería Social Elaborada

Los paquetes maliciosos forman parte de una campaña de engaño más amplia que opera principalmente a través de GitHub. Los atacantes han creado repositorios falsos de bots de trading de criptomonedas, presentándolos como creíbles mediante:

• Commits fabricados
• Cuentas de usuario falsas
• Múltiples cuentas de mantenedores
• Descripciones de proyectos y documentación de aspecto profesional

Esta elaborada estrategia de ingeniería social busca eludir los métodos de detección tradicionales combinando tecnología blockchain con prácticas engañosas, creando una apariencia de legitimidad que dificulta su identificación.

Panorama de Amenazas en Expansión

En 2024, los investigadores de seguridad han documentado 23 campañas maliciosas relacionadas con criptomonedas en repositorios de código abierto. Sin embargo, este último vector de ataque subraya la continua evolución de los ataques a repositorios.

Más allá de Ethereum, tácticas similares se han empleado en otras plataformas, como un repositorio falso de GitHub que se hacía pasar por un bot de trading de Solana, que distribuía malware para robar credenciales de billeteras de criptomonedas. Además, los hackers han atacado "Bitcoinlib", una biblioteca Python de código abierto diseñada para facilitar el desarrollo de Bitcoin, lo que ilustra aún más la naturaleza diversa y adaptativa de estas ciberamenazas.

Medidas de Protección Recomendadas

Para protegerse contra este tipo de amenazas, los usuarios de criptomonedas deben implementar múltiples capas de seguridad:

• Utilizar billeteras hardware para almacenamiento seguro
• Habilitar autenticación de dos factores en todas las plataformas
• Mantener actualizado el software de seguridad y los dispositivos
• Verificar minuciosamente la autenticidad de los repositorios de código antes de utilizarlos
• Implementar soluciones de monitoreo continuo para detectar actividades sospechosas

La evolución de estas amenazas demuestra la importancia de mantener prácticas de seguridad robustas y actualizadas en el ecosistema blockchain, especialmente para desarrolladores y usuarios que interactúan con contratos inteligentes y repositorios de código abierto.