Angreifer verfeinern ihre Infrastruktur, um im Kampf gegen Entnahmeversuche und Sperrungen schwerer aufzufallen. Ein aktuelles Beispiel liefern trojanisierte npm-Pakete, die eine neue Variante einer Blockchain-basierten Command-and-Control-Strategie nutzen. Dabei geht es konkret um NullReceiver C2-IP: Die Schadsoftware gewinnt die IP-Adresse des Command-and-Control-Servers, indem sie sie aus den Bytes einer vermeintlich leeren Ethereum-Transaktion herausliest.
Die Pakete heißen bianira-ui und fluid-type-ui. Sie sind mittlerweile nicht mehr im npm-Registry verfügbar, wurden jedoch laut öffentlich einsehbaren Download-Statistiken einige hundert Male heruntergeladen. Forscher ordnen das Vorgehen zudem einer von staatlichen Akteuren geprägten Bedrohungslage zu.
Worum es bei NullReceiver C2-IP geht
Frühere Ansätze setzten häufig darauf, schädliche Informationen in Transaktionsdaten unterzubringen oder eine Zieladresse dauerhaft wiederzuverwenden. Das machte es für Verteidiger zumindest teilweise möglich, Aktivitäten an wiederkehrenden Mustern festzumachen. NullReceiver zielt auf genau diese Schwachstellen ab.
Statt eine C2-Adresse hart zu codieren oder sie in den Calldata-Daten einer Transaktion zu verstecken, wird die benötigte IP direkt in der Empfängeradresse einer Nullwert-Übertragung „mittransportiert“. Die Transaktion enthält weder relevante Nutzdaten noch einen Smart Contract, der zusätzliche Spuren hinterlassen würde.
Von EtherHiding zu NullReceiver
NullReceiver wird als gezielte Weiterentwicklung eines älteren Konzepts beschrieben: EtherHiding. Dieses Verfahren machte 2023 öffentlich von sich reden. Dabei wurden schädliche Komponenten in Code innerhalb eines Smart Contracts auf einer öffentlichen Blockchain wie BNB Smart Chain oder Ethereum eingebettet. Der große Vorteil: Selbst bei Abschaltungen konnte die Infrastruktur resilient bleiben.
Allerdings besaß EtherHiding aus Sicht der Angreifer auch Grenzen. Ein wichtiger Punkt war, dass eine feste, öffentlich nachverfolgbare Destination nötig war. Sobald neue Transaktionen auftauchten, die den Payload oder die C2-Informationen enthielten, konnten Analysten Muster beobachten – etwa an der Zieladresse oder an wiederkehrenden Transaktionsformen.
NullReceiver geht einen anderen Weg: Es nutzt eine nicht-existente bzw. nur „scheinbar“ zweckmäßige Zieladresse. Diese Adresse dient ausschließlich als Container, in dem die Bytes der C2-IP versteckt sind. Dadurch fällt die typische Wiederverwendbarkeit weg, die bei EtherHiding zur Erkennung beitragen konnte.
Wie trojanisierte npm-Pakete die C2-IP aus Ethereum decodieren
Die in der aktuellen Kampagne beobachteten npm-Bibliotheken rufen keine Smart Contracts auf und platzieren auch keine Inhalte in das Feld calldata. Stattdessen extrahiert die JavaScript-Logik die C2-Informationen über Blockchain-Abfragen.
Der Ablauf auf dem System eines Opfers lässt sich in mehreren Schritten zusammenfassen:
- Die Schadsoftware nutzt eine hart codierte Angreifer-Wallet als Ausgangspunkt (genannt wird dabei die Adresse 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a).
- Sie sucht nach der zuletzt ausgehenden Transaktion dieser Wallet.
- Aus der Transaktion liest sie die Empfängeradresse (Destination „To“).
- Aus den Bytes dieser Empfängeradresse decodiert sie die erste vierteilige Sequenz als Zahl. Konkret wird beschrieben, dass die ersten vier Bytes aus der hexadezimalen Darstellung in eine numerische IP-Teilkomponente überführt werden.
- Zum Abschluss stellt die Malware die Verbindung zu der herausgelesenen IP her, die im Beispiel mit 166.88.134[.]62 angegeben wird.
Ein zentraler Befund der Untersuchung ist außerdem, dass die „To“-Adresse in den betrachteten Transaktionen gleich blieb. Während ein Teil davon in die IP umgesetzt wird, enthält der restliche Hex-Block eine ASCII-Zeichenfolge, in der Untersuchung als helloipbot!! beschrieben.
Warum NullReceiver die Verteidigung erschwert
Mehrere Faktoren machen den Ansatz für Verteidiger unattraktiv. Einer davon ist der Wegfall eines wiederverwendbaren Zielmusters. Bei klassischen Auswertungen schauen Ermittler häufig nach gleichbleibenden Zieladressen oder charakteristischen Datensignaturen. Bei NullReceiver passiert beides nicht in derselben Form.
Hinzu kommt: Jede Suche nutzt eine neue, wegwerfartige Adresse. Das bedeutet, dass Verteidiger keinen konstanten „Fingerabdruck“ an einer Destination festnageln können. Die beteiligten Transaktionen transportieren nach der Beschreibung außerdem nichts zusätzlich – weil die Übertragung selbst völlig leer bleibt.
Aus Sicht der Netzwerkökonomie ist das ebenfalls relevant: Da calldata im Ethereum-Kontext mit Gas pro Byte bepreist wird, kann ein vollständig leerer Transfer günstiger und damit weniger auffällig erscheinen. EtherHiding musste dagegen mehr Informationen „tragen“, was höhere Kosten und dadurch potenziell deutlicher erkennbare Muster begünstigte.
Konkrete Beobachtungen zur Kampagne
Die beiden betroffenen npm-Pakete – bianira-ui und fluid-type-ui – wurden am 28. Juli 2026 veröffentlicht. Der zeitliche Abstand und die kurzfristige Sichtbarkeit sind ein Hinweis darauf, dass die Anbieter oder Angreifer die Veröffentlichung vermutlich nur für einen bestimmten Zeitraum nutzen wollten.
Die Zahlen, die zum Zeitpunkt der Auswertung genannt werden, zeigen Downloads im „hunderte Bereich“:
- bianira-ui: 109 Downloads, hochgeladen von einem npm-Benutzer mit dem Namen npmuser1101.
- fluid-type-ui: 587 Downloads, hochgeladen von einem npm-Benutzer namens npmuser3002.
Zudem wird erwähnt, dass seit dem 27. Juli 2026 – also einen Tag vor der Veröffentlichung der Pakete – bereits eine Reihe von Transaktionen stattgefunden hatte. Insgesamt werden 68 Transaktionen angeführt. Diese Detailtiefe hilft Forschern, die Wirksamkeit der Decodierungsschritte nachvollziehen zu können.
Bezug zu früheren Kampagnen und möglicher Akteurszuordnung
Die Nutzung von EtherHiding wurde bereits in früheren Berichten mit Aktivitäten nordkoreanischer Gruppen in Verbindung gebracht. Ein weiterer Kontext ist eine laufende Kampagne, bei der potenzielle Opfer über LinkedIn mit vermeintlichen Jobangeboten kontaktiert werden, um sie anschließend zu einem Assessment zu verleiten. Dieses führt dann zu Malware-Deployments.
In diesem Umfeld deutet NullReceiver C2-IP auf eine weitere Raffinesse der Angreifer hin: Die Betreiber passen ihre Methoden so an, dass Verteidiger weniger Angriffsflächen zur Identifikation haben. Statt bekannte Muster in Smart-Contract-Logik oder Calldata-Daten zu verwenden, wird nun verstärkt mit einer „tarnenden“ Übertragungsform gearbeitet.
Was bedeutet das für Teams, die npm-Pakete einsetzen?
Auch wenn dieser Beitrag primär die Technik erklärt, bleibt die praktische Botschaft eindeutig: Supply-Chain-Risiken in der JavaScript-Welt sind real und nehmen Formen an, die sich auf mehrere Ebenen auswirken – von der Paketbeschaffung bis hin zur Ausführung von Logik, die erst zur Laufzeit IOCs ableitet.
Für Teams, die produktiv mit npm-Paketen arbeiten, lohnt sich deshalb:
- Abhängigkeiten konsequent prüfen (z. B. über Lockfiles, Versionierung und Review-Prozesse).
- Paketquellen und Veröffentlichungsmuster beobachten, insbesondere bei Bibliotheken mit ungewöhnlichem Funktionsumfang.
- Ausführungsumgebung absichern, etwa durch Logging und das Erkennen ungewöhnlicher Netzwerkverbindungen.
Solche Maßnahmen ersetzen keine Detektionsforschung, reduzieren aber die Wahrscheinlichkeit, dass trojanisierte Pakete unbemerkt in produktive Umgebungen gelangen.
Fazit: NullReceiver macht C2 weniger „sichtbar“
NullReceiver C2-IP zeigt, wie kreativ Angreifer werden, wenn es darum geht, die Erreichbarkeit ihres Command-and-Control-Servers zu sichern. Durch das Encodieren der C2-IP in den Bytes einer Empfängeradresse einer scheinbar leeren Nullwert-Übertragung wird ein zentrales Schwachstellenprinzip früherer Ansätze adressiert: Es gibt keinen festen, wiederverwendbaren Zielwert, an dem Verteidiger Aktivitäten leicht anknüpfen können.
Gleichzeitig machen die günstige, unauffällige Transaktionsform und das Fehlen von Smart Contracts oder Calldata-Inhalten die Methode schwerer zu erkennen. Für Sicherheitsverantwortliche bedeutet das: Moderne Blockchain-gestützte C2-Strategien verlangen nicht nur technische Überwachung, sondern auch starke Supply-Chain-Hygiene bei der Paketabhängigkeit.
Quelle: https://thehackernews.com/2026/08/trojanized-npm-packages-decode-c2-ip.html
