NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse
LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine neue Variante derBlockchain-gestützten Kommando-und-Kontroll-Technik EtherHiding. Die beiden trojanisierten npm-Pakete „bianira-ui“ und. . .
LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine neue Variante derBlockchain-gestützten Kommando-und-Kontroll-Technik EtherHiding. Die beiden trojanisierten npm-Pakete „bianira-ui“ und „fluid-type-ui“ verstecken die C2-IP nicht in Transaktionsdaten, sondern in der Zieladresse einer leerem Ethereum-Überweisung. Statt einer festen, wiedererkennbaren Destination setzt NullReceiver auf eine nicht-existierende „Throwaway“-Adresse, die nur als Träger für wenige Bytes dient. Damit sinkt für Angreifer sowohl die Transaktionsauffälligkeit als auch die Kostenbasis für die Kommunikation. NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse (Foto: IT BOLTWISE)🧠 KI & Robotik auf Google News abonnierenDie besten Bücher rund um KI & Robotikpräsentiert vonAmazon!Unsere täglichen KI-News von IT Boltwise® beiLinkedInabonnieren!KI-Meldungen bequem viaTelegramoder perNewslettererhalten!IT Boltwise® beiFacyoderInstaals Fan markieren und abonnieren!RSS-Feed 2. 0von IT Boltwise für KI-News speichern!Was bei EtherHiding noch klar nach Verfolgungsarbeit roch, wird mit NullReceiver deutlich schwerer greifbar: Die Forscher berichten von einer Weiterentwicklung, bei der die Kommando-und-Kontroll-(C2)-Server-IP nicht mehr wie bisher in einem Smart-Contract oder in den Transaktionsdaten (Calldata) „mitgeschmuggelt“ wird. Stattdessen dekodiert die Malware die IP-Adresse aus den Byte-Werten einer scheinbar sinnlosen Ethereum-Transfer-Zieladresse. Genau diese Verschiebung verändert die Sichtbarkeit für Verteidiger, denn sie entfernt ein zentrales Detektionsanker-Muster aus der Transaktion: die Kombination aus wiederkehrender Destination oder eindeutig instrumentierten Feldern. Im Zentrum der neuen Beobachtung stehen zwei inzwischen vom npm-Registry-Download entfernte Pakete: „bianira-ui“ und „fluid-type-ui“. Laut den angegebenen Downloadzahlen wurden „bianira-ui“ 109-mal und „fluid-type-ui“ 587-mal bezogen, nachdem beide am 28. Juli 2026 erstmals veröffentlicht wurden. Die Zuordnung des Musters wird mit Nordkorea in Verbindung gebracht; parallel wird der größere Kontext genannt, dass ähnlicheBlockchain-Techniken bereits in Verbindung mit einer länger laufenden Social-Engineering-Kampagne namens Contagious Interview diskutiert wurden. Dort werden Zielpersonen über LinkedIn mit vermeintlich attraktiven Jobangeboten angesprochen, um sie zu einer Bewertung zu bewegen, die schließlich die Malware-Deployments ermöglicht. Technisch ist NullReceiver als „dead drop resolver“ beschrieben: Der Schadcode kennt zunächst eine hart codierte Angreifer-Wallet, hier als „0xa322e5f3d311d3080e6f0121063e9adc2490ef1a“. Von dieser Wallet sucht die Malware die zuletzt abgehende Transaktion, liest daraus das „To“-Ziel (also die Zieladresse), und gewinnt die C2-IP aus den ersten vier Bytes dieser Adresse. Dabei wird die Codierung explizit als Umwandlung der Bytefolge aus der hexadezimalen Darstellung in den numerischen IP-Teil erklärt; im Beispiel ergibt das „166. 88. 134[. ]62“. Die übrigen Bytes tragen zusätzlich einen ASCII-String, der im Bericht als „helloipbot!!“ identifiziert wird. Besonders wichtig: Die Malware setzt laut Beschreibung weder einen Smart Contract ein noch nutzt sie das Calldata-Feld, was die Auswertung für Verteidiger um eine Kategorie reduziert, die man bei EtherHiding noch gezielt prüfen konnte. OpenSourceMalware ordnet NullReceiver dabei als „deliberate improvement on EtherHiding“ ein. Entscheidend ist, dass EtherHiding eine feste, öffentlich nachverfolgbare Destination benötigte, die bei jedem neuen Gas-Fee-Event erneut mit Payload-Inhalt oder C2-spezifischen Informationen „gefüttert“ werden musste. NullReceiver wählt hingegen einen nicht-existierenden Zielwert, der nur als Träger für Codierungsbytes dient. Aus Verteidigungssicht wird damit die klassische Heuristik „fixe, watchbare Destination“ entkernt: Verteidiger sehen nicht länger zuverlässig dieselbe Adresse, an der sich neue Transaktionen bündeln. Genau diese Abkopplung nennt auch die Beschreibung: „NullReceiver never reuses a destination“, so wird es von OpenSourceMalware formuliert; jede Lookup-Transaktion soll eine frische, wegwerfartige Adresse verwenden, die „nie zuvor gesehen“ wurde. Dass das Muster zusätzlich „kostengünstiger und weniger auffällig“ sein soll, hängt an der Art der Datenübertragung. Im Bericht wird EtherHiding direkt mit der Gas-Abrechnung pro Calldata-Byte verknüpft: Calldata kostet Gas pro Byte, NullReceiver dagegen setzt auf eine komplett leere Überweisung – also ohne extra Felder, die Bits transportieren müssen. Das ist für Angreifer operativ attraktiv, weil die Transaktion nicht nur schwerer zu fingerprinten ist, sondern auch in der Transaktionsform möglichst generisch bleibt. Paul McCarty bringt den technischen Kern in einer direkten Aussage auf den Punkt: „Instead of hardcoding a C2 address or hiding it in transaction calldata (as in EtherHiding), NullReceiver encodes the C2 IP directly in the bytes of the recipient address of a zero-value, zero-data Ethereum transfer“. Die Logik dahinter folgt dem Schema, das der Bericht ebenfalls aufzählt: Wallet-Wahl fix, jüngste Outbound-Transaktion ermitteln, Zieladresse dekodieren, IP kontaktieren. Für die konkrete Attribution und das „Durchrechnen“ der Beispielbeobachtung liefert der Text ungewöhnlich viele Anker: Der Wallet-Verlauf zeigt, dass das „To“-Ziel bei den genannten Transaktionen gleich bleibt, „0xa658863ea658863e68656c6c6f6970626f742121“. Während der vordere Teil „a658863e“ in den IP-Wert übersetzt wird, repräsentieren die nachfolgenden Bytefolgen den ASCII-String „helloipbot!!. “. Außerdem werden 68 Transaktionen seit dem 27. Juli 2026 beschrieben, also einen Tag vor der Veröffentlichung der npm-Pakete. Diese zeitliche Nähe deutet darauf hin, dass Angreifer das „Resolver“-Gerüst bereits vorab mit passenden Wallet- und Transaktionsmustern vorbereitet haben könnten, bevor die Pakete im npm-Ökosystem auftauchten. Für Unternehmen und Security-Teams ist die nächste Herausforderung weniger das einzelne Paket, sondern die Detection-Strategie im Zusammenspiel aus Paket-Supply-Chain undBlockchain-Telemetrie. Da die C2-IP nicht mehr in Smart-Contract-Interaktionen oder Calldata-Pattern greifbar ist, müssen Beobachtungen stärker auf das Verhalten auf Endpoint-Ebene fokussieren: Welche Bibliotheken werden geladen, wie wird die Wallet-Referenz verarbeitet, und welche Netzwerkziele entstehen dynamisch aus „To“-Adressbytes? Daneben bleibt wichtig, dass npm-Provider- und Dependency-Management-Prozesse die betroffenen Releases schnell ausrollen und blocken. Der Bericht macht zudem deutlich, dass Angreifer nicht zwingend vollständige URL- oder Script-Strings übertragen können: NullReceiver kann nur wenige Bytes codieren. Das schränkt die Komplexität pro Transaktion ein, reicht aber offenbar, um die zentrale Kommunikationsadresse umzusetzen – und genau diese Engstelle ist für Verteidiger oft leichter zu übersehen als für Angreifer. 💳Amazon-Kreditkarte mit 2. 000 Euro Limit bestellen!🔥Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!🎉Amazon Haul-Store für absolute Schnäppchenjäger!53 BewertungenPlantbot Upgraded Large Smart Flower Pot Pet Planter Robot with Artificial Intelligence, Time Temperature Display, and Numerous Expressive Animations Based, for Indoor Decoration, Gifts (White)【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g. Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»Die besten Bücher rund um KI & Robotik!Die besten KI-News kostenlos per eMail erhalten!Zur Startseite von IT BOLTWISE® für aktuelle KI-News!IT BOLTWISE® kostenlos auf Patreon unterstützen!Aktuelle KI-Jobs auf StepStone finden und bewerben!Folgen Sie aktuellen Beiträge über KI & Robotik aufTwitter,Telegram,FacebookoderLinkedIn!Hinweis:Teile dieses Textes könnten mithilfe Künstlicher Intelligenz generiert worden sein. Die auf dieser Website bereitgestellten Informationen stellen keine Finanzberatung dar und sind nicht als solche gedacht. Die Informationen sind allgemeiner Natur und dienen nur zu Informationszwecken. Wenn Sie Finanzberatung für Ihre individuelle Situation benötigen, sollten Sie den Rat von einem qualifizierten Finanzberater einholen. IT BOLTWISE® schließt jegliche Regressansprüche aus. Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise. de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen:"NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse". Nächster ArtikelVorheriger ArtikelDu hast einen wertvollen Beitrag oder Kommentar zum Artikel"NullReceiver: Trojanisierte npm-Pakete dekodieren C2-IP aus Ethereum-Zieladresse"für unsere Leser?