Siber güvenlik araştırmacıları, C2 sunucu IP adresini tamamen boş bir Ethereum transferinin uydurma bir hedef adresinin içine gizleyen EtherHiding blockchain tabanlı komuta ve kontrol (C2) tekniğinin evrim geçirdiğini tespit etti.
OpenSourceMalware, 'bianira-ui' ve 'fluid-type-ui' adlı iki trojanize npm paketinde gözlemlenen bu yeni ölü posta kutusu (dead drop resolver) yaklaşımına NullReceiver kod adını verdi. Şirket, bu tekniği 'EtherHiding üzerinde kasıtlı bir iyileştirme' olarak tanımladı ve faaliyeti Kuzey Kore'ye bağladı.
Söz konusu paketler artık npm'den indirilemiyor. Ancak istatistikler, 28 Temmuz 2026'da ilk yayınlandıklarından bu yana birkaç yüz kez indirildiklerini gösteriyor:
- bianira-ui (109 indirme) — 'npmuser1101' adlı bir npm kullanıcısı tarafından yüklendi
- fluid-type-ui (587 indirme) — 'npmuser3002' adlı bir npm kullanıcısı tarafından yüklendi
EtherHiding, ilk olarak Ekim 2023'te Guardio Labs tarafından kamuoyuna duyurulmuştu. Bu gizli yaklaşım, kötü niyetli kodu BNB Smart Chain (BSC) veya Ethereum gibi halka açık bir blockchain üzerindeki bir akıllı sözleşmeye gömmeyi içeriyordu. Teknik, kapatma girişimleri karşısında operasyonel dayanıklılığı artırdığı için 'kurşun geçirmez barındırmanın bir sonraki seviyesi' olarak tanımlanmıştı.
Kuzey Koreli hacker gruplarının EtherHiding kullanımı, geçen yılın sonlarında Google Threat Intelligence Group (GTIG) tarafından Contagious Interview kampanyasıyla bağlantılı olarak detaylandırılmıştı. Bu uzun süredir devam eden kampanyada, hedefler LinkedIn üzerinden cazip iş fırsatlarıyla yaklaşılarak kandırılıyor ve bir değerlendirmeyi tamamlamaları isteniyor, bu da kötü amaçlı yazılım bulaşmasına yol açıyordu.
Son gelişme, tehdit aktörlerinin taktiklerini daha da geliştirdiğini ve savunmacıların tespit etmesini zorlaştırdığını gösteriyor.
