Foi identificada uma evolução da técnica EtherHiding, que esconde o endereço IP do servidor de comando e controle (C2) dentro de um endereço de destino fictício de uma transferência Ethereum vazia. Dois pacotes npm trojanizados, "bianira-ui" e "fluid-type-ui", utilizaram essa abordagem, denominada NullReceiver.
Detalhes Técnicos
A técnica EtherHiding foi atualizada para esconder o IP do servidor C2 dentro de endereços Ethereum.
Dois pacotes npm infectados ("bianira-ui" e "fluid-type-ui") foram identificados utilizando essa técnica.
A abordagem é denominada NullReceiver e representa um dead drop resolver.
Esse método permite que os operadores evitem a detecção tradicional de tráfego de C2.
Recomendações
Verifique a integridade dos pacotes npm utilizados em seus projetos.
Monitore o tráfego de rede para detectar padrões suspeitos.
Utilize ferramentas de segurança para identificar e bloquear comunicações com servidores C2.
Mantenha os sistemas e aplicativos atualizados com os últimos patches de segurança.
